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(Mit: Geänderter Vorschlag der Kommission für eine Richtlinie des Rates zum 
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten 
und zum freien Datenverkehr — »Rats-Dok. Nr. 9400/92« — Anlage — ) 


A. Problem 

Am 18. Juli 1990 hat die Kommission dem Rat ein Vorschlagpaket 
von zwei Richtlinien und einem Beschluß vorgelegt. Mit ihm sollen 
der freie Verkehr von Daten in der Gemeinschaft erleichtert und 
dabei ein hohes Schutzniveau von Personen bei Verarbeitungen 
personenbezogener Daten gewährleistet sowie die Sicherheit der 
Verarbeitungen von Daten insbesondere im diensteintegrierenden 
digitalen Telekommunikationsnetz verstärkt werden. 

Im Rahmen des Verfahrens der Zusammenarbeit hat das Europäi- 
sche Parlament diese Vorschläge in seinen Ausschüssen gründlich 
geprüft. Nach Erörterung des Berichts des Ausschusses für Recht 
und Bürgerrechte am 10. Februar 1992 hat das Parlament am 
11. März 1992 fast einstimmig eine befürwortende Stellungnahme 
zu den Vorschlägen in der von ihm in zahlreichen Punkten 
geänderten Form angenommen. 

Der Rat hat den Vorschlag für einen Beschluß auf dem Gebiet der 
Informationssicherheit am 31. März 1992 angenommen (Amtsblatt 
vom 5. Mai 1992). 

Mit dem geänderten Vorschlag soll die Stellungnahme des Euro- 
päischen Parlaments berücksichtigt werden. 
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Der Rat hat den Vorschlag für einen Beschluß auf dem Gebiet der 
Informationssicherheit am 31. März 1992 angenommen (Amtsblatt 
vom 5. Mai 1992). 

Mit dem geänderten Vorschlag soll die Stellungnahme des Euro- 
päischen Parlaments berücksichtigt werden. 


B. Lösung 

Kenntnisnahme des geänderten Vorschlags der Kommission auf 
Rats-Dok. Nr. 9400/92 unter Hinweis auf die aus der Beschlußemp- 
fehlung ersichtlichen Aufforderungen an die Bundesregienmg. 

Einstimmigkeit im Ausschuß in Abwesenheit der Gruppen 
BÜNDNIS 90/DIE GRÜNEN und der PDS/Linke Liste. 


C. Alternativen 

Keine 


D. Kosten 

Keine 
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Beschlußempfehlung 


Der Bundestag wolle beschließen, 

den anliegenden geänderten Vorschlag der Kommission für eine 
Richtlinie des Rates zum Schutz natürlicher Personen bei der 
Verarbeitung personenbezogener Daten und zum freien Datenver- 
kehr — Rats-Dok. Nr. 9400/92 — zur Kenntnis zu nehmen und die 
Bundesregierung aufzufordern, bei der Beratung über den Vor- 
schlag der Kommission für eine Richtlinie des Rates zum Daten- 
schutz von folgenden Grundsätzen auszugehen: 

1. Das im Vertrag von Maastricht verankerte Subsidiaritätsprinzip 
ist strikt anzuwenden. Es dürfen nur solche Datenschutzfragen 
in der Richtlinie geregelt werden, die zwingend notwendig 
EU-einheitlich geregelt werden müssen. 

2. In diesem Rahmen soll der in der Bundesrepublik Deutschland 
erreichte Datenschutzstandard erreicht werden. 

3. Es muß sichergestellt werden, daß das höhere deutsche Daten- 
schutzniveau auch nach Inkrafttreten der Richtlinie beibehalten 
werden kann. 


Bonn, den 27. Juni 1994 

Der Innenausschuß 

Wolfgang Lüder Dorle Marx Meinrad Belle 

Stellv. Vorsitzender Berichterstatterin Berichterstatter 


Dr. Burkhard Hirsch 
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KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN 


KOM(92) 422 endg. - SYN 287 
Brüssel, den 15. Oktober 1992 


Geänderter Vorschlag für eine 
RICHTLINIE DES RATES 

zum Schutz natürlicher Personen bei der Verarbeitung 
personenbezogener Daten und zum freien Datenverkehr 


(gemäß Artikel 149 Absatz 3 des EWG-Vertrags 
von der Kommission vorgelegt) 
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BEGRÜNDUNG 


AIXGEHE IHR EINFÜHRUNG 


Am 18. Juli 1990 hat die Kommission dem Rat ein Vorschlagspaket von zwei 
Richtlinien und einem Beschluß vorgelegt. Mit ihm sollen, der freie Verkehr 
von Daten in der Gemeinschaft erleichtert und dabei ein hohes Schutzniveau 
von Personen bei Verarbeitungen personenbezogener Daten gewährleistet sowie 
die Sicherheit der Verarbeitungen von Daten insbesondere im dienste- 
integrierenden digitalen Telekommunikationsnetz verstärkt werden. 

Der WirtschaftS“ und Sozialausschuß hat seine Stellungnahme zu diesen Vor- 
schlägen am 24. April 1991 abgegeben (Amtsblatt vom 17. Juni 1991). 

Im Rahmen des Verfahrens der Zusammenarbeit hat das Europäische Parlament 
diese Vorschläge in seinen Ausschüssen gründlich geprüft. Nach Erörterung 
des Berichts des Ausschusses für Recht und Bürgerrechte (Berichterstatter 
Herr Hoon) am 10. Februar 1992 hat das Parlament am 11. März 1992 fast 
einstimmig eine befürwortende Stellungnahme zu den Vorschlägen in der von 
ihm in zahlreichen Punkten geänderten Form angenommen. 

Der Rat hat den Vorschlag für einen Beschluß auf dem Gebiet der Informa- 
tionssicherheit am 31. März 1992 angenommen (Amtsblatt vom 5. Mai 1992). 

Mit dem vorliegenden geänderten Vorschlag soll die Stellungnahme des 
Europäischen Parlaments berücksichtigt werden. 

A. Wichtigste Änderungen 

1’. Das Schutzkonzept 

Zwei wesent •. i-che Änderungen des ursprünglichen Vorschlags durch das 
Parlament wurden in den geänderten Vorschlag aufgenommen. Sie betreffen; 

den Verzicht auf die formelle Unterscheidung zwischen den für den 
öffentlichen und den privaten Sektor geltenden Regeln, 

nähere Bestimmungen für das selektive Meldeverfahren bei der 
Kontrollbehörde und zu den Verhaltensregeln- 

Diese Änderungen bieten den Vorteil, daß sie verdeutlichen, daß - unab- 
hängig von dem betreffenden Sektor - überall der gleiche Schutz gelten 
muß . 

Außerdem ermöglichen sie, bürokratische Abweichungen zu verhindern und zu 
einer besseren Gewährleistung der Konvergenz und Gleichwertigkeit der 
Methoden beizutragen, mit denen in den Mitgliedstaaten ein wirksamer Schutz 
sichergestellt werden soll. Der Umfang des Meldeverfahrens und die Aufgaben 
der unabhängigen Kontrollbehörden werden präsisiert entsprechend dem Grad 
der Risiken, .die die Verarbeitungen personenbezogener Daten für die Rechte 
und Freiheiten der betroffenen Personen aufweisen. 
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2 . Konzepte und Begriffsbestimmungen 

Die Überlegungen zu den Änderungen des Parlaments, die zum einen darauf 
abzielen, das überholte und im Rahmen der Entwicklung der Automatisie- 
rung und des Telekommunikationswesens nicht relevante Konzept der Datei 
aus dem Vorschlag zu streichen', zum anderen, die Datenerhebung in die 
Definition der Verarbeitung personenbezogener Daten einzubeziehen, haben 
dazu geführt, vorzuschlagen, daß der Kern der Regelung bei der- Ver- 
arbeitung personenbezogener Daten liegt. 

Diese Änderung bringt zwei Vorteile mit sich: Die Grundsätze des 
Schutzes aufgrund der Richtlinie hangen nicht von einer Technologie oder 
besonderen technischen Organisation ab; das Konzept der Datenverarbei- 
tung ermöglicht die Entwicklung eines Globalansatzes, bei dem sich die 
Aufmerksamkeit auf die benutzten Daten sowie auf alle Operationen 
konzentriert, die sie im Hinblick auf die .. angestrebte Zweckbestimmung 
betref f en- 

Ferner hat sich herausgestellt, daß es erforderlich ist, das Konzept der 
Datei beizubehalten und zu präzisieren, um den Anwendungsbereich der 
Richtlinie - wenn die Verarbeitungen nicht automatisiert erfolgen - 
lediglich auf personenbezogene Daten zu beschränken, die in Dateien 
enthalten oder dazu bestimmt sind, in Dateien aufgenommen zu werden. 

Außerdem wird der Begriff des Dritten, dem personenbezogene Daten über- 
mittelt werden, eingeführt. 

3 . Anwendungsbereich und spezifische Ausnahmebestimmungen 

Die nachstehenden Änderungen werden vorgeschlagen, um den Besorgnissen 
des Parlaments Rechnung zu tragen. Sie zielen darauf ab, die betreffen- 
den Rechte und Freiheiten zu gewährleisten und miteinander zu verein- 
baren, um den freien Verkehr der entsprechenden Daten sicherzustellen. 

- Die Kritik an der ursprünglichen Bestimmung unter bestimmten Voraus-, 
Setzungen Verarbeitungen durch Verbände ohne Erwerbszweck aus dem 
Bereich der Richtlinie auszuschließen, haben entsprechend bestimmte 
Änderungen des Parlaments zur Verarbeitung sensibler Daten zu dem 
Vorschlag geführt, diese Verarbeitungen unter die Richtlinie fallen 
zu lassen, wobei gleichzeitig eine besondere Ausnahme von der 
Meldepflicht vorgesehen wird. Diese ist um die Meinungsfreiheit zu 
gewährleisten . 

- Bei der Verarbeitung für journalistische Zwecke wird vorgeschlagen, 
die Ermächtigung der Mitgliedstaaten durch eine Verpflichtung zu 
ersetzen, die erforderlichen Ausnahmen vorzusehen, um den Schutz des 
Privatlebens der betroffenen Person mit dem Recht der freien 
Meinungsäußerung zu vereinbaren. 

- Für Verarbeitungen, die keine besonderen Risiken darstellen und 
durchgeführt werden, um insbesondere gesetzlichen Verpflichtungen 
nachzukommen, wird eine Ausnahme von der Meldepflicht vorgeschlagen. 
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4. Drittländer 


Die Bestimmung, mit der dem Risiko eines Umgehens der Gemeinschafts- 
bestimmungen bei dem Datentransfer in Drittländer vorgebeugt werden soll 
und die ein Verbot derartiger Transfers in Länder vorsieht, die kein 
angemessenes Schutzniveau gewährleisten, wurde so formuliert, daß die 
Unklarheiten über das verfolgte Ziel beseitigt wurden. Dazu wurden 
Kriterien für eine Beurteilung der Angemessenheit hinzügefügt. Außerdem 
sind in einer beschränkten Zahl von Fällen Ausnahmen von der Regel 
vorgesehen, um gerechtfertigte besondere Umstände zu berücksichtigen. 

B. Strulctur und Inhalt des geänderten Vorschlags 

Der Vorschlag wurde neu strukturiert, um die Streichung der formellen 
Unterscheidung zwischen öffentlichem und privaten Sektor sowie .die 
Entwicklung der Bestimmungen zu berücksichtigen, die die Meldung bei den 
Kontrollbehörden betreffen. Die neue Struktur zielt ferner darauf ab, 
die verschiedenen Bestandteile des Schutzmechanismus deutlicher aufzu- 
zeigen. Sie berücksichtigt auch die Kritik an dem zu ausführlichen 
ursprünglichen Text. Die Umstrukturierung des Vorschlags betrifft die 
Bestimmungen in den Kapiteln II bis VI des ursprünglichen Vorschlags, 
die im wesentlichen in einem neuen Kapitel II zusammengefaßt sind, das 
alle allgemeinen Bedingungen für die Zulässigkeit der Verarbeitung 
personenbezogener Daten enthält, diese aber neu ordnet. Die Struktur der 
ursprünglichen Kapitel I, VII ff wurde nicht verändert. 

Kapitel II des geänderten Vorschlags ist in Abschnitte untergliedert, 
die die Grundsätze darlegen, die für die Gestaltung und Durchführung von 
Verarbeitungen personenbezogener Daten zu gelten haben (Abschnitte 1, 2 
und 3), das Recht auf Information, Auskunft und Widerspruch der 
betroffenen Personen (Abschnitte 4, 5 und 6), die Verpflichtungen im 
Bereich der Sicherheit (Abschnitt 7) und die Meldeverfahren bei den 
Kontrollbehörden (Abschnitt 8) . 

Abschnitt 1 behandelt die allen Rechtsvorschriften der Mitgliedstaaten 
gemeinen Grundsätze, die sich aus den Bestimmungen des Übereinkommens 
108 des Europarats über die Qualität der Daten ableiten, die Gegenstand 
einer Verarbeitung sind. Er entspricht dem ursprünglichen Artikel 16- 
Die auf Antrag des Parlaments erfolgte Aufnahme der Datenerhebung in den 
Begriff der Verarbeitung hat einige redaktionelle Änderungen erforder- 
lich gemacht. Außerdem wurde die Änderung des Parlaments bezüglich der 
Archivierung von Daten für die wissenschaftliche Forschung berücksich- 
tigt. 

Die berechtigte Zweckbestimmung der Verarbeitungen personenbezogener 
Daten - einer der in Abschnitt 1 genannten Grundsätze - wird in Ab- 
schnitt 2 über die Grundsätze für die Verarbeitung von Daten erläutert. 
Dieser Abschnitt greift die in den ursprünglichen Kapiteln II und III 
enthaltene einschränkende Liste der Voraussetzungen auf, unter denen die 
Verarbeitungen durchgeführt werden dürfen; er verdeutlicht diese und 
bewahrt ihren allgemeinen Charakter. Dieser Liste zufolge sind diese 
Voraussetzungen insbesondere die Einwilligung der betroffenen Person, 
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die Erfüllung eines mit der betroffenen Person geschlossenen Vertrags, 
die Erfüllung einer gesetzlichen Verpflichtung oder schließlich das 
Abwägen der verschiedenen Interessen, die eine Rolle spielen. Diese 
"Interessenabwägung”, die sehr unterschiedliche Verarbeitungen betreffen 
kann, wie Verarbeitungen für die kommerzielle Werbung oder die Verarbei- 
tung öffentlich zugänglicher Daten, haben die Mitgliedstaaten nach , von 
ihnen festgelegten Verfahren vorzunehmen und dabei vor allem die 
allgemeinen Grundsätze des Abschnitts 1 und der Rechte der betroffenen 
Personen zu berücksichtigen. 

Abschnitt 3 betrifft die besonderen Bestimmungen für Verarbeitungen im 
Zuscimmenhang mit den Grundfreiheiten. Dieser Abschnitt umfaßt Bestimmun- 
gen, die unter Bezugnahme auf das vorgenannte Übereinkommen und die 
Stellungnahme des Parlaments, die in diesem Punkt teilweise aufgegriffen 
wird, einen verstärkten Schutz bei der Verarbeitung empfindlicher Daten 
vorsehen, d.h. bei der Verarbeitung von Daten insbesondere im Zusammen 
hang mit der Meinungsfreiheit. Diese* Bestimmungen entsprechen dtiu 
ursprünglichen Artikel 17. Sie greifen die Vorschläge des Parlaments : 
den Verarbeitungen durch politische oder gewerkschaftliche Vereinigungen 
auf. In dem geänderten Vorschlag fallen diese Veränderungen somit in den 
Anwendungsbereich der Richtlinie, womit die Rechte der Personen ihnen 
gegenüber garantiert und der freie Verkehr der genannten Daten 
gewährleistet werden kann. Abschnitt 3 betrifft außerdem die bereits 
genannten Regeln für Verarbeitungen für journalistische Zwecke, die die 
Vereinbarkeit der beiden Grundfreiheiten im Hinblick auf 'die Privat- 
sphäre und die freie Meinungsäußerung garantieren sollen. 

Abschnitt 4 betrifft die Verpflichtungen des Verantwortlichen der Ver- 
arbeitung im Bereich der Information der betroffenen Person über die 
erfolgten Verarbeitungen. Sie sollen die Transparenz der Verarbeitungen 
sicherstellen und damit zu der Anwendung der Grundsätze der loyalen 

Verarbeitung der Daten gemäß dem Übereinkommen 108 des Europarats 
beitragen, auf’ die in Abschnitt 1 hingewiesen wurde. Abschnitt 4 
entspricht den Bestimmungen der ursprünglichen Kapitel II, III und IV, 

die in dem geänderten Vorschlag neu formuliert wurden, um insbesonde^ 

Auslegungsprobleme auszuräumen, die zu Informationsredundanzen führen. 

Abschnitt 5 betrifft das Auskunftsrecht der Personen über sie betreffe, 
de Daten sowie das Recht auf Berichtigung dieser Daten. Er entspricht 
den diesbezüglichen Bestimmungen des ursprünglichen Kapitels IV und 
greift die Änderungen des Parlaments auf, das die Tragweite dieses 
Rechts allgemein verstärkt (insbesondere das Recht der betroffenen 

Person, die Herkunft der verarbeiteten Daten zu erfahren und die bei den 
automatisierten Verarbeitungen verwendeten Argumentationen, deren 
Ergebnisse ihr entgegengehalten werden). Die geänderten Bestimmungen 
berücksichtigen auch den Vorschlag des Parlaments, demzufolge die 
Möglichkeit einer Beschränkung der Wahrnehmung des Auskunftsrechts im 
Privatsektor unter den Bedingungen vorgesehen wird, die ursprünglich dem 
öffentlichen Sektor Vorbehalten waren. 

Abschnitt 6 betrifft das Widerspruchsrecht der betroffenen Person aus 
berechtigten Gründen. Er entspricht den diesbezüglichen Bestimmungen der 
Kapitel III und IV des ursprünglichen Vorschlags. Dieser Abschnitt 
enthält die Verpflichtung, den betroffenen Personen die Möglichkeit des 
Widerspruchs vor der Übermittlung von Daten an Dritte zum Zweck 
schriftlicher Werbung anzubieten. 
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Abachnitt 7 greift mit einigen redaktionellen Änderungen die Bestimmun- 
gen über die Sicherheit auf^ die im ursprünglichen Kapitel V enthalten 
waren. 

Abschnitt 8 entwickelt die ursprünglichen Bestimmungen über die Meldung. 
Mit dem vorgeschlagenen selektiven System, das weitgehend aus den 
Änderungen des Parlaments übernommen wurde, wird das Ziel verfolgt, die 
Transparenz der Verarbeitungen und insbesondere die Ermittlung ihrer 
Zweckbestimmungen zu gewährleisten und dabei die Intervention der 
Kontrollbehörden an den Verarbeitungen auszurichten, die besondere 
Aufmerksamkeit erfordern, weil sie Risiken mit sich bringen. Er geht von 
dem Grundsatz aus, daß jede Verarbeitung der Kontrollbehörde zu melden 
ist, sofern sie teilweise oder vollständig automatisiert ist; präzisiert 
wird, daß die Meldung ein Paket von Verarbeitungen betreffen kann, deren 
Zweckbestimmungen vom Standpunkt des Verantwortlichen dieser Verarbei- 
tungen aus und gegenüber den betroffenen Personen verbunden sind. 
Vorgeschlagen wird, daß die Mitgliedstaaten im Lichte ihrer Erfahrung 
Maßnahmen treffen, um die Verarbeitungen, deren Durchführung im Hinblick 
auf die Rechte und Freiheiten der betroffenen Personen keine Risiken 
birgt, von der Meldepflicht zu befreien oder diese Pflicht zu erleich- 
tern. Die getroffenen Maßnahmen beschreiben die betroffenen Verarbei- 
tungen und ihre möglichen Durchführungsbedingungen. Schließlich wird 
vorgeschlagen, daß den Kontrollbehörden die Befugnis übertragen werden 
kann, die gemeldeten Verarbeitungen vor ihrer Durchführung zu prüfen. 

Kapitel III enthält die Bestimmungen der Kapitel IV und VII des 
ursprünglichen Vorschlags über die Rechtsmittel der betroffenen Person, 
Haftung und Sanktionen. Diese Bestimmungen wurden geändert, um die 
Stellungnahme des Parlaments zu berücksichtigen. 

Kapitel. IV betrifft die Transfers personenbezogener Daten in Dritt- 
länder. Es entspricht dem ursprünglichen Kapitel VIII. Es wurde wie 
obengenannt geändert und greift die Bestimmungen auf, die der Gemein- 
schaft die Entwicklung einer gemeinsamen Politik in dem Bereich ermög- 
lichen sollen. 

Kapitel V betrifft die Verhaltensregeln. Es entspricht den diesbezügli- 
chen Bestimmungen ' des ursprünglichen Kapitels VI und greift die 
Stellungnahme des Parlaments zu dem Verfahren der Ausarbeitung der 
Verhaltensregeln auf, bei dem die unabhängigen Kontrollbehörden einbe- 
zogen werden- Außerdem wird die Möglichkeit für die Mitgliedstaaten 
hinzugefügt, die Berufsgruppen bei der Umsetzung der Rechtsvorschriften 
durch die Ausarbeitung nationaler Verhaltensregeln zu beteiligen. 

Kapitel VI behandelt die nationalen Kontrollbehörden und die Daten- 
schut zgruppe, die zur einheitlichen Anwendung der nationalen Durch- 
führungsbestimmungen der Richtlinie beitragen und die Kommission beraten 
soll. Dem Wunsch des Parlaments gemäß wurden die üntersuchungsbef ugnisse 
der nationalen Behörden präzisiert. Die ursprüngliche Zusammensetzung 
der Gruppe wurde beibehalten, um ihre Unabhängigkeit zu gewährleisten. 
Aus diesem Grund ist auch vorgesehen, daß die Gruppe ihren Vorsitzenden 
wählt. Die genauen Bedingungen, unter denen sie von der Kommission zu 
konsultieren ist, werden genannt. 
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Kapitel VII betrifft die Durchführungsbefugnisse, die der Rat der 
Konunission übertragen sollte. Entgegen der Stellungnahme des Parlaments 
bleibt die Kommission hier bei ihrem. ursprünglichen Vorschlag. Sie ist 
der Ansicht, daß die Annahme technischer Anpassungsmaßnahmen aufgrund 
der Tragweite und des technischen Charakters des Bereichs der Verarbei- 
tung personenbezogener Daten erforderlich sein wird. 

Schlußbestimmungen ; Um dem Wunsch des Parlaments zu entsprechen, ist 
eine Frist von drei Jahren, die zu der Frist für die Umsetzung der 
Richtlinie hinzukommt, für die Anwendung der neuen nationalen Rechtsvor- 
schriften vorgesehen. 
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KOMMENTARE ZUM TITEL UND ZU DEN ERWÄGUNGSGRÜNDEN 


, TITEL 

Der Titel vsrurde in zweierlei Hinsicht präzisiert: 

- "Zum freien Datenverkehr" wurde hinzugefügt, um deutlich hervorzuheben, 
daß der Vorschlag auf die Errichtung und das Funktionieren des Binnen- 
markts auf der Grundlage einer Harmonisierung abzielt, die den Schutz 
der Personen gewährleistet; 

um jede Unklarheit über den Anwendungsbereich des Vorschlags auszu- 
räumen, wurde, präzisiert, daß der Schutz nur für natürliche Personen 
gilt . 

ERWÄGÜNGSGRÜNDE 

Die Kommission hat die Erwägungsgründe geändert, um die an den Bestimmungen 
des Vorschlags vorgenommenen Änderungen zu berücksichtigen. 

Dazu ist insbesondere folgendes zu bemerken: 

Der Erwägungsgrund Nr. 2 greift die Stellungnahme des Parlaments auf 
(Änderung Nr. 9), die darauf abzielt, die Vorteile hervorzuheben, die 
die Systeme der automatisierten Datenverarbeitung aufweisen, sofern sie 
die Rechte der Personen und die individuellen Freiheiten achten. 

- /Es schien besser, den das Übereinkommen des Europarats vom 28. Januar 

1981 betreffenden Erwägungsgrund Nr. 10 unter die Erwägungsgründe ein- 
zursihen, mit denen die Problematik einer diesbezüglichen Gemeinschafts- 
politik beschrieben werden soll, da die Richtlinie die in dem Über- 
einkommen enthaltenen Grundsätze konkretisiert. In dem ursprünglichen 
Vorschlag stand dieser Erwägungsgrund (Nr. 22), dessen Wortlaut nicht 
geändert u-arde, unter den Bestimmungen über den Datentransfer in 
Drittländer. 

- Ein neuer Erwägungsgrund (Nr. 14) wurde aufgenomraen, der die Grundsätze 
des Schutzes, die in den nachstehenden Erwägungsgründen zum Ausdruck 
kommen, kurz zusajnmenf assen soll. 

Mit den Änderungen der Erwägungsgründe Nr. 4 (neu) und 5 soll die Be- 
schreibung der Sachverhalte verstärkt werden, die zu einer Gemein- 
schaf tsini1:iative führen müssen, deren Notwendigkeit in den Erwägungs- 
gründen 7 und 8 hervorgehoben wird. 
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KOMMENTARE ZU DEN ARTIKELN 


KAPITEL I 

ALLGEMEINE BESTIMMUNGEN 
Artikel 1 


Gegenstand der Richtlinie 

Artikel 1 ist dem Gegenstand der Richtlinie gewidmet. Dieser Gegenstand ist 
die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den 
Mitgliedstaaten mittels einer Harmonisierung der einzeistaatlichen Rechts- 
vorschriften: 

gemäß Absatz 1 sind die Mitgliedstaaten verpflichtet, den Schutz der 
Rechte und Freiheiten natürlicher Personen und insbesondere den Schutz 
der Privatsphäre bei der Verarbeitung personenbezogener Daten zu ge- 
währleisten. (Diese Terminologie wurde auch in Artikel 1 des Überein- 
kommens 108 des Europarats verwendet); 

Da der Schutz aufgrund der Richtlinie in allen Mitgliedstaaten nach 
denselben Grundsätzen gewährleistet wird und somit im gesamten Gebiet 
der Gemeinschaft gleichwertig ist, können die Mitgliedstaaten aufgrund 
von Absatz 2 den Verkehr der Daten in den unter die Richtlinie fallenden 
Bereichen nicht mehr aus Gründen des Schutzes der betroffenen Person 
beschränken. 

So ermöglicht der Vorschlag nach Wunsch des Parlaments (Änderung Nr- 10, 
zweiter Teil), die Erfordernisse der Vollendung des Binnenmarkts mit denen 
des Schutzes der Personen zu vereinbaren. " 

Die Änderung Nr. 10 (erster Teil) wurde in dem geänderten Vorschlag 
•insofern aufgenommen, als der Begriff der Verarbeitung gemäß der Definition 
in Artikel 2 Buchstabe a die Erhebung einschließt. 

Artikel 2 


Begriffsbestimmungen 

Mit diesem Artikel werden die wichtigsten in der Richtlinie verwendeten 
Begriffe definiert. Die Definitionen greifen die Begriffsbestimmungen des 
Übereinkommens 108 des Europarats auf,* die sie allerdings in dem erforder- 
lichen Maße anpassen und präzisieren, um einen hohen gleichwertigen Schutz 
in der Gemeinschaft sicherzustellen. 

a) “Personenbezogene Daten”, Der geänderte Vorschlag erfüllt das Ziel des 
Parlaments, das eine möglichst globale Definition des Begriffs der 
”personenbezogenen Daten" wünscht, um alle Informationen abzudecken, die 
mit einer natürlichen * Person in Verbindung gebracht werden können 
(Änderung Nr. 12). Eine Person kann unmittelbar durch einen Namen oder 
mittelbar durch eine Telefonnummer, ein Kraftfahrzeugkennzeichen, eine 
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Sozialversicherungsnummer, eine Paßnummer oder eine Verknüpfung 
bedeutsamer Kriterien identifiziert werden, die beispielsweise ihre 
Bestimmung innerhalb einer kleinen Gruppe ermöglichen (Alter, 
Beschäftigung, Anschrift usw. ) • Die Begriffsbestimmung erlaubt auch ein 
Abdecken von Daten wie Bild und Stimme, Fingerabdrücke und genetische 
Merkmale. 

Eine Definition der anonymen Daten wird nicht gegeben,’ da dieser Begriff 
in der Richtlinie nicht verwendet wird. Das Anonymat einer Information 
hängt somit nicht mehr von den Kosten für die Zuordnung zu der 
Ursprungsinformation ab (Änderung Nr. 13). In dem besonderen Fall einer 
Erfassung von Daten als Statistik erschien es jedoch zweckmäßig, zu 
präzisieren, daß diese nicht mehr als "personenbezogen'* angesehen werden 
können, sobald die betroffenen Personen vernünftigerweise nicht mehr 
bestimmbar sind. 

b) "Verarbeitung personenbezogener Daten" (Verarbeitung) . Die zugrunde 
gelegte Definition geht in Richtung eines weiten Anwendungsbereichs, der 
die Garantie des Schutzes Einzelner ermöglicht (Änderung Nr. 15). Sie 
umfaßt die Erhebung der Daten bis zu ihrer Löschung, über ihre 
Organisation, Benutzung, Abfrage, Weitergabe - definiert als Übermitt- 
lung, Verbreitung oder jede sonstige Form der Bereitstellung (Änderung 
Nr. 16) -, die Verknüpfung und das Sperren einschließt. 

c) "Datei mit personenbezogenen Daten" (Datei). Diese Definition, unter die 
sowohl automatisierte als auch nicht automatisierte Dateien fallen, 
wurde präzisiert. In bezug auf nicht automatisierte Datenverarbeitung 
ermöglicht sie eine Beschränkung des Anwendungsbereichs der Richtlinie 
auf Daten, die so strukturiert sind, daß sie den Zugriff und die Suche 
nach Daten über natürliche Personen erleichtern. Personenbezogene Daten, 
die nicht für ihre Benutzung im Hinblick auf die betroffenen Personen 
org^^nisiert sind, sind somit ausgeschlossen. Diese letztgenannten Daten 
weisen f ^^ie Personen nicht dieselben Risiken auf, und es ist 
realisti^'-her, sie nicht denselben Verpflichtungen zu unterwerfen. 

Um den Schutz der Personen zu gewährleisten, wird präzisiert, daß das 
Ziel oder die Wirkung** der Kriterien der "Zugänglichkeit" darin bestehen 
muß, die Benutzung oder die Kombination von Daten zu erleichtern, damit 
die betroffene Person nicht genötigt ist, die Absicht nachzuweisen, was 
die Anwendung der einzelstaatlichen Rechtsvorschriften in Frage stellen 
könnte. 

Der Begriff "Kombination" wurde dem. Begriff "Verknüpfung" vorgezogen, . um 
sowohl automatisierte Verarbeitungen als auch Dateien auf Papier 
einzubeziehen. 

d) "Verantwortlicher der Verarbeitung". Diese Definition lehnt sich an den 
Begriff "maitre du fichier" des Übereinkommens 108 des Europarats an. 

Da die Richtlinie im wesentlichen auf eine Regelung der Benutzung von 
Daten im Hinblick auf die verfolgten Zwecke abzielt, ist ein Bezug auf 
das Konzept des Verantwortlichen der Verarbeitung vorzuziehen. Es 
handelt sich um die Person, die in letzter Instanz für die Entschei- 
dungen über die Definition und die Durchführung der Verarbeitungen 
verantwortlich ist (meist der Betriebsleiter)' und nicht um Personen, die 
die Verarbeitung gemäß den Anweisungen des Verantwortlichen vornehmen. 
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Deshalb ist ausgeführt, laß der Verantwortliche ”die Ziele" der 
Verarbeitung definiert. - e Änderung Nr. 17 wurde in diesem Punkt 
berücksichtigt. Der Verantwortliche der Verarbeitung kann die Daten 
selbst verarbeiten oder durch Mitglieder seines Personals oder auch 
durch eine mit der Verarbeitung beauftragte Person verarbeiten lassen; 
diese Person unterscheidet sich rechtlich von dem Verantwortlichen, ist 
aber in seinem Auftrag tätig. 

e) "Mit der Verarbeitung beauftragte Person": Diese nützliche Definition 
hat das Parlament vorgeschlagen (Änderung Nr. 18). 

f) "Pritter". Diese Definition ist das Ergebnis einer parlamentarischen 

Änderung (Nr. 134); sie ist in dem geänderten Vorschlag überarbeitet 
worden, um klar herausz ^stellen, daß die betroffene Person, der 

Verantwortliche der Verarbeitung sowie die Personen, die ermächtigt 
sind, unter seiner unmittelbaren Verantwortung oder in seinem Auftrag, 
wie die mit der Verarbeitung beauftragte Person, Daten zu verarbeiten,^ 
nicht als Dritte angesehen werden. Personen, die in einem anderen 
Unternehmen arbeiten, auch wenn dieses demselben Konzern oder derselben 
Holding angehört, dürfen im allgemeinen als Dritte angesehen werden- 

Bankfilialen hingegen, die Verarbeitungen im Rahmen der Kundenverwaltung 
unter der unmittelbaren Verantwortung des Hauptsitzes durchführen, 
dürften nicht als Dritte angesehen werden. Dies dürfte auch für 
Versicherungsvertreter gelten; die Situation für Versicherungsmakler 
beispielsweise könnte sich hingegen anders darstellen. 

g) "Einwilligung der betroffenen Person": In dem ursprünglichen Vorschlag 
stand die Definition der Einwilligung der Person in eine Verarbeitung 
sie betreffender Daten in Artikel 12 in dem Kapitel zu den Rechten der 
Person. 

Dies hat zu Problemen geführt, da gewisse Berufskreise daraus abgeleitet 
hatten, daß für jede Verarbeitung die zuvorige Einwilligung der be- 
troffenen Person erforderlich sei, während es sich nur um eine der 
Grundlagen der Zulässigkeit der Verarbeitung handelt. 

Deshalb scheint es logischer, daß die Bestimmungen über die Einwilligung, 
mit einigen redaktionellen Änderungen, die ihnen die Form einer 
Definition geben, in Artikel 2 der Richtlinie aufgenommen werden. 

Der Bezug auf den ausdrücklichen Charakter der Einwilligung wurde ge- 
strichen, um zu verhindern, daß dies als Erfordernis einer schriftlichen 
Erklärung ausgelegt werden kann (den empfindlichen Daten des Artikels 8 
des geänderten Vorschlags vorbehaltenes Verfahren) . Er wurde durch die 
"ausdrückliche Willensbekundung" ersetzt, die schriftlich oder mündlich 
erfolgen kann. 

In der geänderten Fassung wurde präzisiert, daß die Einwilligung in den 
Fällen, in denen möglicherweise Druck auf die betroffene Person ausgeübt 
wird (Fall des Arbeitnehmers gegenüber seinem Arbeitgeber beispiels- 
weise) , "ohne Zwang" zu erfolgen hat. 
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Um der betroffenen Person die Möglichkeit zu geben. Gefahren und 
Vorteile der Verarbeitung sie betreffender Daten zu beurteilen und ihre 
Rechte gemäß Artikel 13 des Richtlinienvorschlags wahrzunehmen (Berich- 
tigung/ Löschung, Sperrung), hat die Einwilligung auf der Grundlage der 
Information zu erfolgen. Aus diesem Grunde hat der Verantwortliche der 
Verarbeitung der betroffenen Person die benötigen Informationen mitzu- 
teilen, wie Namen und Anschrift des Verantwortlichen oder gegebenenfalls 
seines Vertreters (vgl. Artikel 4 Absatz 2), den Zweck der Verarbeitung, 
die gespeicherten Daten usw. 

Die Einwilligung der betroffenen Person gilt für den konkreten Fall, 
d.h., daß sie sich auf eine konkrete Verarbeitung von Daten über die 
betroffene Person durch einen bestimmten Verantwortlichen und für 
bestimmte Zwecke handeln muß. 

Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu 
widerrufen. Der Widerruf hat allerdings keine Rückwirkung, da andern- 
falls eine Verarbeitung personenbezogener Daten, die zuvor zulässig war, 
rückwirkend unzulässig würde. 

Drei in dem ursprünglichen Vorschlag enthaltene Definitionen wurden 
gestrichen: 

Die Definition der Kontrollbehörde, die in Artikel 32 des geänderten 
Vorschlags enthalten ist. 

Die Definitionen des öffentlichen und des privaten Sektors aufgrund der 
Zusammenfassung der Bestimmungen für diese Sektoren (vgl. Kapitel II des 
geänderten Vorschlags) . 

Artikel 3 


Anwendungsbereich 


Absatz 1 des geänderten Vorschlags bringt die Standpunkte derer, die sich 
im Bereich Informatik lediglich auf das Konzept der "automatisierten 
Verarbeitung" beziehen wollen (weil eine automatisierte Verarbeitung nitht 
notwenigerweise die Existenz einer* Datei voraussetzt) sowie derer in 
Übereinstimmung, die befürchten, daß die Richtlinie sich auf alle, auch auf 
die nicht strukturierten Daten auf Papier ausdehnt. 

Deshalb wurden in dem geänderten Vorschlag unterschiedliche Kriterien für 
die Definition des Anwendungsbereichs der Richtlinie zugrundegelegt, je 
nachdem, ob die Daten Gegenstand einer automatisierten Verarbeitung sind 
oder nicht: sie gilt nur für die nicht automatisierte Verarbeitung von 
Daten, wenn diese Daten in einer Datei enthalten sind; im Informatikbereich 
hingegen geht die Definition über den Begriff der Datei hinaus; die 
Richtlinie findet auf jede automatisierte Datenverarbeitung Anwendung, auch 
wenn diese Daten nicht in einer Datei enthalten sind. 

Die Richtlinie gilt also ‘für personenbezogene Daten, die entweder durch 
ihre Organisation in einer manuellen Datei oder mittels einer Daten- 
verarbeitung strukturiert sind. 
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Es wird auf **ganz oder teilweise'* automatisierte Verarbeitungen Bezug 
genommen, um darauf hinzuweisen, daß eine Verarbeitung eine Einheit 
darstellt, auch wenn nur ein Teil (beispielsweise der Index) informat isiert 
ist. 

In Absatz 2 sind zwei Ausnahmen vorgesehen; 

- Die erste betrifft die Verarbeitungen für die Ausübung von Tätigkeiten, 
die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen (wie 
Geheimdienste). Der Anwendungsbereich der Richtlinie ist im Verhältnis 
zu dem Anwendungsbereich des Gemeinschaftsrechts definiert,^ um ihm zu 
ermöglichen, sich mit diesem zu entwickeln. 

- Die zweite Ausnahme betrifft die Benutzung von Daten zu ausschließlich 
privaten Zwecken, wie beispielsweise ein elektronisches Notizbuch( 
(Änderung Nr- 22) . 

Wöitere Ausnahmen sind nicht vorgesehen. Die Rechte der Bürger wären 
nicht mehr garantiert, wenn reihenweise verschiedene Organisationen von 
jeder Verpflichtung ausgenommen würden; Es ist zwar berechtigt, das für 
bestimmte Verarbeitungen personenbezogener Daten geltende System zu 
erleichtern (vgl. Abschnitt VIII in Kapitel II • über die Meldung, der 
Möglichkeiten für die Befreiung oder Vereinfachung der Formalitäten 
vorsieht); eine Globalbefreiung ist hingegen nicht erforderlich. 

Das besondere Problem der Vereinigungen und Verbände wird in dem Artikel 
behandelt, der Ausnahmebestimmungen für die Sammlung empfindlicher Daten 
enthält (Artikel 8 des geänderten Vorschlags). 

Artikel 4 


Geltendes einzelstaatliches Recht 

In diesem Artikel sind die Kriterien -enthalten, auf deren Grundlage^ 
bestimmt werden kann, welche einzelstaatliche Rechtsvorschrift auf di<=‘ 
Verarbeitungen Anwendung findet, die in den Anwendungsbereich der Rieht 
linie fallen; damit soll vermieden werden; 

- zum einen, daß die betroffene Person jeden Schutz verliert, insbesondere 
aufgrund eines Umgehens der Rechtsvorschrift; 

- zum anderen, daß dieselbe Verarbeitung der Anwendung mehrerer einzel- 
staatlicher Rechtsvorschriften unterworfen wird. 

In dem ursprünglichen Vorschlag bestimmte der Standort der Datei die 
territoriale Zuständigkeit; dieses Kriterium wurde in dem geänderten 
Vorschlag nicht auf gegrif fen, weil der Standort einer Datei oder einer 
Verarbeitung oft unmöglich zu bestimmen sein wird: letztere können viele, 
auf mehrere Mitgliedstaaten verteilte Standorte haben, vor allem im Fall 
von Datenbanken und Netzen, Phänomenen in ständiger Expansion. 

Deshalb wird in den geänderten Vorschlag das geltende Recht unter Be- 
zugnahme auf den Ort definiert, an dem der Verantwortliche der* Verarbeitung 
ansässig ist. 
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Ist der Verantwortliche der Verarbeitung nicht im Hoheitsgebiet der Gemein- 
schaft ansässig, benutzt aber automatisierte oder nicht, automatisierte 
Mittel zum Zwecke der Verarbeitung (Terminals, Fragebögen usw. ) im Hoheits- 
gebiet eines Mitgliedstaats, so gilt das Recht des Staates, in dessen 
Hoheitsgebiet sich diese Mittel befinden. Außerdem hat der Verantwortliche 
der Verarbeitung einen in diesem Hoheitsgebiet ansässigen Vertreter zu 
benennen, der in seine Rechte und Pflichten eintritt. 

In diesem Fall obliegt diesem Vertreter die Meldepflicht (vgl. Abschnitt 
VIII in Kapitel II); jede Unterrichtung der betroffenen Personen über den 
Verantwortlichen der Verarbeitung gemäß dem Richtlinienvorschlag ist durch 
eine Information über dessen Vertreter zu ergänzen. 

Die Änderung Nr. 24 wurde insofern aufgegrif f en, als sie den Bezug auf eine 
vereinzelte Abfrage streicht, einen Begriff, dem die klare Zuordnung fehlte 
und der somit zu unterschiedlichen Auslegungen geführt hatte. 

Aufgrund der Wahl des Kriteriums der Ansässigkeit des Verantwortlichen der 
Verarbeitung ergibt sich durch eine vorübergehende Verbringung einer Datei 
keine Änderung für das anwendbare Recht. Deshalb wurde Artikel 4 Absatz 3 
des ursprünglichen Vorschlags nicht aufgenommen. 

KAPITEL II 

ALLGEMEINE BEDINGUNGEN FÜR DIE RECHTMÄSSIGKEIT DER VERARBEITUNG PERSONEN- 
BEZOGENER DATEN 

Der geänderte Vorschlag hat eine andere Struktur als der ursprüngliche Vor- 
schlag: In dem neuen Kapital II sind alle Grundsätze, Rechte und Pflichten 
zusammengefaßt, die die Zulässigkeit der Verarbeitungen bestimmen. Gemäß 
der Stellungnahme des Parlaments wurden die Bestimmungen zum öffentlichen 
und zum privaten Sektor zusammengefaßt. 

Artikel 5 


Dieser Artikel greift Artikel 6 Absatz 2 und Artikel 8 Absätze 1 und 3 des 
ursprünglichen Vorschlags auf. 

Ihm zufolge sehen die Mitgliedstaaten vor, daß die Verarbeitung 
personenbezogener Daten nur dann zulässig ist, wenn sie im Einklang mit 
allen Bestimmungen des Kapitels II, das eine Einheit bildet, erfolgt. 

Außerdem wird hervorgehoben, daß die Mitgliedstaaten in ihren Rechtsvor- 
schrift die Voraussetzungen näher bestimmen können, unter denen die 
Verarbeitung im Rahmen der Bestimmungen des Kapitels II zulässig sind. 
.Diese Präzisieenrungen können beispielsweise darin bestehen, je nach 
betrachtetem Sektor die Fälle zu definieren, in denen das Interesse der 
betroffenen Person überwiegt (Artikel 7 Buchstabe f), die Modalitäten für 
die Unterrichtung der betroffenen Personen (Abschnitt IV) oder die 
Bedingungen für die Wahrnehmung des Widerspruchsrechts (Abschnit VI). Sie 
dürfen den Grundsatz des freien Verkehrs der Daten innerhalb der 
Gemeinschaft nicht in Frage stellen. 
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ABSCHNITT I 

GRUNDSÄTZE FÜR DIE QUALITÄT DER DATEN 
Artikel 6 

Dieser Artikel enthält die wesentlichen Grundsätze aus Artikel 5 des 
Übereinkommens 108 des Europarats. 

Da es sich Bestimmungen über die Grundrechte von Personen bei der 
Verarbeitung von Informationen handelt, stehen sie am Beginn des Kapitels 
über die Rechtmäßigkeit der Verarbeitungen. Für die Auslegung der folgenden 
Artikel dieses Kapitels ist es notwendig, sich darauf zu beziehen. 

Die Bestimmungen des Artikels 6 greifen die des Übereinkommens 108 
Europarats mit einigen Änderungen auf, mit denen sie an die Begriffs- 
bestimmungen in Artikel 2 (insbesondere die Definition der Verarbeitun( 
und den Anwendungsbereich der Richtlinie angepaßt werden sollen, die - im 
Gegensatz zu dem Übereinkommen 108 - sowohl automatisierte als auch nicht 
automatisierte Verarbeitung von Daten betreffen, die in Dateien enthalten 
sind. 

Artikel 6 Buchstabe a bestimmt, daß die Verarbeitung personenbezogener 
Daten nach Treu und Glauben und auf rechtmäßige Art und Weise zu erfolgen 
hat. Diese Bestimmung zielt auf die Verarbeitung in ihrer Definition nach 
Artikel 2 Buchstabe e ab und schließt somit, natürlich die Erhebung ein. 

Die Bestimmung in Artikel 6 Buchstabe a schließt insbesondere die Verwen- 
dung verborgener Geräte aus, mit denen heimlich und ohne Wissen der 
betroffenen Person beispielsweise durch Abhören des Telefons und andere 
Mittel Daten gesammelt werden können. Diese Bestimmung untersagt ferner den 
Verantwortlichen der • Verarbeitung, heimlich eine Verarbeitung personen- 
bezogener Daten vorzunehmen und diese zu benutzen. 

( 

Artikel 6 Buchstabe b enthält den Grundsatz der Zweckbestimmung der Daten- 
erhebung (unabhängig davon, ob sie mit automatisierten oder hict 
automatisierten Mitteln erfolgt). Diesem Grundsatz zufolge dürfen persö^ 
liehe Daten nur für bestimmte, ausdrücklich festgelegte und rechtmäßige 
Zwecke bewahrt werden. 

Der Gegenstand der Erhebung persönlicher Daten muß bestimmt sein, d.h-, das 
Ziel der Erhebung und Benutzung der Daten muß so genau wie möglich 
definiert werden. Eine allgemeine oder vage Definition oder Beschreibung 
des Gegenstands einer Verarbeitung (beispielsweise ”für kommerzielle 
Zwecke”) entspricht dem Grundsatz der Definition der Zweckbestimmung nach 
Artikel 6 Buchstabe b nicht. 

Die Zweckbestimmung ist vor der Erhebung der Daten zu spezifizieren. Werden 
die Daten bei der betroffenen Person erhoben, so sieht Artikel 11 vor, daß 
die Zweckbestimmung bereits zu dem Zeitpunkt der Datenerhebung feststehen 
muß . 

Eine spätere Änderung der Zweckbestimmung einer Verarbeitung ist nur dann 
rechtmäßig, wenn sie mit der ursprünglichen Zweckbestimmung vereinbar ist. 


18 



Deutscher Bundestag — 12. Wahlperiode 


Drucksache 1 2/8329 


Nach Artikel 6 Buchstabe b ist der Verantwortliche der Verarbeitung auch 
verpflichtet, die Zweckbestimmung der Datenspeicherung und des Datensatzes 
festzulegen. 

Da die Zweckbestimmung der Speicherung und Benutzung personenbezogener 
Daten rechtmäßig sein muß, sind die potentiellen Zweckbestimmungen einer 
Verarbeitung beschränkt. Eine solche Verarbeitung kann nur für einen 
Gegenstand gestaltet und benutzt werden, der den' Bestimmungen der 
Richtlinie und den einzelstaatlichen Rechtsvorschriften der Mitgliedstaaten 
entspricht. 

Gemäß Artikel 6 Buchstabe c) müssen die Daten den Zwecken entsprechen, für 
die sie verarbeitet werden, dafür erheblich sein und nicht darüber 
hinausgehen. Dieser Grundsatz setzt voraus, daß die Art der Daten der 
verfolgten Zweckbestimmung entspricht. 

Die Bestimmungen in Artikel 6 Buchstabe d stehen in engem Zusammenhang zu 
den Bestimmungen in Artikel 6 Absatz 1 Buchstaben b und c. Die Daten müssen 
richtig und, falls erforderlich, auf dem neusten Stand sein. Sind die-Daten 
nicht zutreffend oder unvollständig im Hinblick auf die Zweckbestimmung 
der Datei, so sieht Artikel 6 Buchstabe d vor, daß sie gelöscht oder 
berichtigt werden müssen. 

Artikel 6 Buchstabe e bezieht sich auf die Höchstdauer der Aufbewahrung 
personenbezogener Daten. Dieser Bestimmung zufolge ist die Aufbewahrung von 
Daten in einer Form, die die Identifizierung der betroffenen Personen 
ermöglicht, nur während des Zeitraums zulässig, der füir Erreichen des Ziels 
er f orde»“lich ist , für das die Daten erhoben worden sind. 

In bestimmten Fällen kann es allerdings nach einer gewissen Frist, wenn 
eine Verarbeitung ihre eigentliche Zweckbestimmung verloren hat, notwendig 
sein, sie zr- vor allem historischen Zwecken oder für die Forschung 
aufzubewahren. Artikel 6 Buchstabe e legt deshalb gemäß der Stellungnahme 
des Par lami:.Mt:s (Änaerung Nr. 60) fest, daß die Mitgliedstaaten geeignete 
Garantien für Dacen vorsehen können, die für historische, statistische oder 
wissenschaftliche Zwecke archiviert werden, um zum einen den strikten 
Grundsatz der Zweckbestimmung und das Recht auf Löschung, zum anderen die 
Erfordernisse ^ der Forschung zu verbinden. 

Nach Artikel 6 Absatz 2 ist der Verantwortliche der Verarbeitung verpflich- 
tet, für die Einhaltung der Bestimmungen über die Qualität der Daten in 
Artikel 6 Absatz 1 zu sorgen. 

ABSCHNITT II 

GRUNDSÄTZE IN BEZUG AUF DIE GRUNDLAGEN DER VERARBEITUNG VON DATEN 
Artikel 7 


In Artikel 7 sind in einer vereinfachten und neugeordneten Form die Voraus- 
setzungen für die rechtmäßige Verarbeitung personenbezogener Daten zusam- 
mengefaßt, die in dem ursprünglichen Vorschlag in den Artikeln 5, 6 und 8 
standen. Gemäß der Stellungnahme des Parlaments in den Änderungen Nr. 27, 
28 und 29 ist die Unterscheidung zwischen öffentlichem und privatem Sektor 
aufgehoben worden. 


19 



DrUCkSdChG 12/8329 Deutscher Bundestag — 12. Wahlperiode 


Auf die Verarbeitung von Daten zu einem anderen Zweck als dem, zu dem die 
Verarbeitung ursprünglich vorgenommen wurde (ursprünglicher Artikel S.l.b) 
sowie auf die rechtmäßigen Kriterien für die Übermittlung personenbezogener 
Daten (ursprüngliche Artikel 6 und 8.2) wird nicht speziell eingegangen. 
Der allgemeine Grundsatz der Zweckbestimmung (geänderter Artikel S.l.b) und 
die in dem geänderten Artikel 7 festgelegten Voraussetzungen werden für 
ausreichend gehalten. 

Die in den Änderungen Nr. 30 und 32 vorgeschlagenen spezifischen Voraus- 
setzungen allerdings sind nur teilweise in der geänderten Fassung auf- 
gegriffen worden. 

Die Einwilligung wird nicht mehr als wichtigstes Kriterium angesehen, von 
dem es Ausnahmen gibt, sondern als eine von mehreren möglichen Vor- 
aussetzungen (.geänderter Artikel 7 a). 

Statt einer Bezugnahme auf ein ” vertragsähnliches Verhältnis'*, ein von 
vielen Stellen als vage eingeordneter Begriff, der auch unter den Begriff 
'* vertragliches Verhältnis'* oder den des "berechtigten Interesses** 
(Buchstabe f) des geänderten Artikels 7 fällt, wurde der Begriff der 
’* vorvertraglichen Maßnahmen, die auf Antrag der betroffenen Person 
er folgen" . auf genommen, um die Situätion vor Schaffung eines vertraglichen 
Verhältnisses abzudecken (geänderter Artikel 7b). 

Die Verarbeitung infolge einer durch einzelstaatliche oder gemeinschaft- 
liche Rechtvorschriften auferlegten Verpflichtung (geänderter Artikel 7 c) 
wurde beibehalten. 

Dies gilt auch für die Buchstaben e und f (teilweise) des geänderten 
Artikels 7, 

Buchstabe d wurde für Fälle hinzugefügt, in denen die betroffene Person 
lebenswichtige Interessen an der Verarbeitung ihrer personenbezogenen Daten 
hat, ihre Einwilligung aber nicht geben kann (beispielsweise schwere 
medizinische Fälle). 

Buchstabe f - der teilweise der Änderung Nr. 32 des Parlaments entspricht 
stellt eine Ausarbeitung des ursprünglichen Artikels 8.1 Buchstabe • c dar, 
in dem berücksichtigt wird, daß es bedeutende berechtigte Interessen neben 
den Interessen des Verantwortlichen der Verarbeitung und der betroffenen 
Person geben kann, die berücksichtigt werden müssen. Artikel 8.1 Buchsta- 
be b des ursprünglichen Textes wurde gestrichen, weil die Kommission 
festgestellt hat, daß in bestimmten Fällen allgemein zugängliche Quellen 
empfindliche personenbezogene Daten enthalten können. Darüber hinaus sind 
die Daten in den meisten Fällen für spezielle Zwecke verarbeitet worden und 
sollten deshalb nicht für andere Zwecke benutzt werden, ohne daß die 
anderen Bestimmungen der Richtlinie zugrunde gelegt würden. 
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ABSCHNITT III 

BESONDERE KATEGORIEN DER VERARBEITXJNG 
Artikel 8 


Dieser Artikel entspricht dem ursprünglichen Artikel 17. 

Allgemein wird davon ausgegangen, daß das Recht auf Privatsphäre nicht 
durch den Inhalt personenbezogener Daten, sondern durch den Kontext der 
Verarbeitung personenbezogener Daten gefährdet wird. Unter den Mitglied- 
staaten herrscht allerdings ein breiter Konsens darüber, daß es bestimmte 
Kategorien von Daten giipt, die aufgrund ihres Inhalts das Risiko mit sich 
bringen, das Recht der betroffenen Person auf Privatsphäre zu verletzen. 
Deshalb enthält Artikel 8 des Richtlinienvorschlags strikte Beschränkungen 
der Verarbeitung und Benutzung der nachstehenden Kategorien empfindlicher 
Daten: rassische Herkunft (einschließlich Informationen über die Haut- 
farbe);* politische Meinung, religiöse, philosophische oder moralische 
Überzeugung, einschließlich der Tatsache, daß eine Person keiner Glaubens- 
gemeinschaft angehört (diese Kategorien umfassen Informationen über Tätig- 
keiten der betroffenen Person im Hinblick auf politische, religiöse oder 
philosophische Überzeugungen); Informationen über Gewerkschaftszugehörig- 
keit, die Gesundheit der betroffenen Person (einschließlich Informationen 
über ihre frühere, derzeitige und zukünftige physische und geistige Gesund- 
heit sowie Informationen über Drogen- und Alkoholmißbrauch); Informationen 
über das Sexualleben. Auch andere als religiöse oder philosophische 
Anschauungen können empfindliche Daten darstellen; deshalb wurden die 
"moralischen Überzeugungen” hinzugefügt. 

Der ursprüngliche .Artikel 17 wurde verändert und neu geordnet, um bestimm- 
te,, vom Parlament genannte Punkte aufzunehmen (Änderungen Nr. 63, 149,' 65). 

Als aiigamcin . Grundsatz steht in Absatz 1, daß die Verarbeitung (auto- 
matisiert manuell, wie vom Parlsunent in Änderung Nr. 63 gefordert) 
"empfindlicher” Dacen untersagt ist. 

Absatz 2 enthält einige Ausnahmen von dieser allgemeinen Regel*: 

Statt dem Erfordernis "ausdrückliche, schriftliche Einwilligung, ohne 
Zwang" als allgemeine Voraussetzung für die Verarbeitung derartiger 
Daten, von der es Ausnahmen geben kann, wurde es für sinnvoller ge- 
halten, eine derartige Einwilligung als eine von verschiedenen Ausnahme- 
möglichkeiten von dem allgemeinen Verbot der Verarbeitung derartiger 
Daten aufzunehmen. 

Die Verarbeitung derartiger Daten erfolgt durch Stiftungen oder Vereini- 
gungen politischer, philosophischer, religiöser oder gewerkschaftlicher 
Art als Teil ihrer berechtigten Ziele unter der Voraussetzung, daß sie 
sich nur auf die Mitglieder und Korrespondenzpartner bezieht, die ihre 
Einwilligung zu der Einbeziehung gegeben haben, und daß sie Dritten 
nicht übermittelt, werden. Dies wird für eine notwendige Funktion 
demokratischer Gesellschaften gehalten. Eine solche Verarbeitung wird 
auch gemäß dem Vorschlag des Parlaments (Änderung Nr. 149) von der in 
Abschnitt VIII dieses Kapitels vorgesehenen Meldepflicht befreit.. 
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Die Verarbeitung erfolgt unter Bedingungen, die offenkundig die Privat- 
sphäre und die Grundfreiheiten der betroffenen Person nicht gefährden, 
Beispiele für eine derartige Verarbeitung sind Daten politischer Art 
über einen Politiker, Namenslisten von Personen, die für einen kurzen 
Zeitraum und unter Einhaltung strikter Sicherheitsvörkehrungen Gegen- 
stand von Meinungsumfragen sind. 

Wie Artikel 17 Absatz 2 des ursprünglichen Vorschlags, ermöglicht Absatz 3 
Ausnahmen aus "wichtigen Gründen des öffentlichen Interesses". Derartige 
Ausnahmen dürften insbesondere internationalen Menschenrechtsorganisa- 
tionen, die solche Daten für ihre Arbeit benötigen, gewährt werden, 
vorausgesetzt, daß sie entsprechende Sicherheitsvorkehrungen vorsehen. 

Der Meinung des Parlaments (Änderung Nr. 65), demzufolge Da : 3n über straf- 
rechtliche Verurteilungen lediglich von Justizbehörden gespeichert werden 
dürfen, ist in Absatz 4 dieses Artikels teilweise Rechnung getragen. Neben 
den Justizbehörden können derartigen Daten auch von den unmittelbar von den 
entsprechenden Gerichtsentscheiden betroffenen Personen oder ihren 
Vertretern aufbewahrt werden. Aufgrund der besonderen Empfindlichkeit 
derartiger Daten wurde es für richtig gehalten, Ausnahmen nur über 
gesetzliche Bestimmungen zuzulassen, die auch geeignete Garantien vorsehen 
(geänderter Artikel 8.4). 

Der vorgeschlagene Absatz 3,A (Änderung Nr. 65 des Parlaments, zweiter 
Teil), in dem die Mitgliedstaaten aufgefordert werden, festzulegen, unter 
welchen Bedingungen eine nationale Kennziffer - sofern eine solche besteht 
- oder jedjes andere Kennzeichen allgemeiner Bedeutung verwendet werden 
darf, wurde an- und in Absatz 5 aufgenommen. 

Artikel 9 


Verarbeitungen durch die Presse 


Dieser Artikel entspricht dem ursprünglichen Artikel 19. Die Mitglied- 
staaten sind aufgefordert , Ausnahmen von den Bestimmungen der Richtlinie^ 
für die Presse und die audiovisuellen Medien vorzusehen, soweit sie er- 
forderlich sind, um die Grundrechte der. Menschen, insbesondere das Recht^ 
auf Privatsphäre, mit dem Recht auf freie Meinungsäußerung zu vereinbaren; 
in diesem Bereich besteht die Gefahr eines Konflikts zwischen den beiden 
Kategorien der Grundrechte. Der gewählte Ansatz hebt die Verpflichtung 
hervor, bei einer Ausnahmeregelung die betroffenen Interessen abzuwägen. 
Dabei kann unter anderem berücksichtigt werden, daß die betroffene Person 
über Rechtsmittel oder das Recht auf eine Gegendarstellung verfügt, ein 
Verhaltenskodex existiert oder dupch die Europäische Menschenrechts- 
konvention und die. allgemeinen Rechtsgrundsätze Beschränkungen festgelegt 
sind. 

Im Hinblick auf den ursprünglichen Wortlaut sind aus Gründen der Harmoni- 
sierung Ausnahmebestimmungen für Presseorgane, audiovisuelle Medien und 
Journalisten (Hinzufügung zu dem ursprünglichen Text) für die Mitglied- 
staaten zwingend vorgesehen. Spezifiziert wird, daß derartige Ausnahmen nur 
Verarbeitungen für journalistische Zwecke betreffen. Unter den Begriff 
Journalisten fallen sowohl Reporter/ Fotografen als auch Autoren z.B. 
Biographen . 
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ABSCHNITT IV 

INFORMATION DER BETROFFENEN PERSON 

In Abschnitt IV sind alle Bestimmungen über die Information der betroffenen 
Personen zusammengefaßt, die in dem ursprünglichen Vorschlag an verschie- 
denen Stellen auf geführt waren (ursprüngliche Artikel 9, 13, 14.3). 

Artikel 10 


Information über die Existenz einer Verarbeitung 

Dieser Artikel entspricht dem ursprünglichen Artikel 14 Absatz 3 über das 
Recht der betroffenen Person, "die Existenz einer Datei, ihre wichtigsten 
Zweckbestimmungen sowie die Identität und den gewöhnlichen Aufenthalt, den 
Sitz oder die Niederlassung des für die Datei Verantwortlichen zu kennen”. 

Der ursprüngliche Wortlaut wurde wie folgt geändert. 

Das Recht auf Information kann auf Antrag wahrgenommeri werden. ”Name und 
Anschrift des Verantwortlichen der Verarbeitung oder seines Vertreters” 
sind an die Stelle von "gewöhnlicher Aufenthalt, Sitz oder Niederlassung 
des für die Datei Verantwortlichen” getreten, da Name und Anschrift als 
ausreichende Information für die Ausübung der Rechte der betroffenen Person 
angesehen werden. Die Dritten oder die betroffenen Datenkategorien werden 
ebenfalls für wichtig gehalten und wurden zu den Informationen hinzugefügt, 
auf deren Kenntnis die betroffene Person Anspruch hat. 

Ausnahmen von diesem Recht auf Information können die Mitgliedstaaten auf 
der Grundlage und zu den Voraussetzungen des Artikels *14 Absatz 1 festlegen 
(Staatssicherheit, Verteidigung, öffentliche Sicherheit usw. ) . 

Artikel 11 

Unterrichtung bei Erhebung personenbezogener Daten bei der betroffenen 
Person 

Dieser Artikel, der der betroffenen Person, bei der personenbezogene Daten 
erhoben werden, spezifische Rechte auf Information gewährt, entspricht dem 
ursprünglichen Artikel 13. 

Die faire rechtmäßige Erhebung personenbezogener Daten setzt voraus, daß 
die betroffene Person darüber entscheidet, ob sie den Personen, die die 
Daten erheben, sie betreffende Daten auf der Grundlage zuverlässiger Fakten 
bekanntgibt, die die Zweckbestimmung der Verarbeitung, die Identität des 
Verantwortlichen der Verarbeitung, die Frage, ob eine gesetzliche 
Verpflichtung für die Offenlegung der Daten besteht, ob diese Offenlegung 
freiwillig erfolgt, sowie mögliche Konsequenzen einer unterlassenen Beant- 
wortung betreffen- Damit sie ihre Rechte geltend machen und die Benutzung 
der sie betreffenden Daten tatsächlich kontrollieren kann, sollte sie auch 
über ihre Rechte auf Auskunft und Berichtigung sowie die Empfänger der 
Daten unterrichtet sein. 
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Irr. Hinblick auf den ursprünglichen Wortlaut wurden folgende Änderungen 
vorgenommen: 

im Titel wird herausgestellt , daß dieser Artikel Anwendung findet^ wenn 
personenbezogene Daten bei der betroffenen Person erhoben werden; 

- dies wird in Absatz 1 bestätigt, in dem herausgestellt wird, daß der Er- 
halt der Information nicht nur ein Recht der betroffenen Person dar- 
stellt (das auf Anfrage ausgeübt wird), sondern eine Verpflichtung des 
Verantwortlichen der Verarbeitung, wenn personenbezogene Daten bei den 
betroffenen Personen erhoben werden. Die Durchführung wird von den 
besonderen Umständen der Erhebung abhängen; 

wie in dem ursprünglichen Vorschlag (Artikel 13.2)/ ermächtigt Arti- 
kel 11.2 die Mitgliedstaaten, die Informationspflicht der betroffer( 
Person aufgrund überwiegender allgemeiner Interessen einzuschränker 
Dieser Bestimmung zufolge besteht keine Pflicht auf Information gern*. 
Artikel 11 (Absatz 1) der betreffenden Person, wenn die Unterrichtung 
der betroffenen Person die Ausübung der Kontroll- und Überprüfungs- 
aufgaben einer Behörde oder die Aufrechterhaltung der öffentlichen 
Sicherheit und Ordnung verhindert. 

Artikel 12 

Unterrichtung bei Weitergabe an einen Dritten 

Dieser Artikel entspricht Artikel 9 des ursprünglichen Textes. Damit die 
betroffene Person ihre Rechte geltend machen kann, fordert Absatz 1, daß 
der Verantwortliche der Datei die betroffene Person über die Übermittlung 
sie betreffender Daten unterrichtet. Die betroffene Person kann dann ihr 
Recht auf Auskunft wahrnehmen und Widerspruch gegen eine Fortsetzung der 
betreffenden Verarbeitung einlegen. 

Die Änderung Nr. 35 wurde teilweise aufgenommen, wo sie sich auf die übd 
nommenen Bestimmungen der Änderung Nr. 32 bezieht. Artikel 8.2 Buchstabe ? 
auf den sich die Änderung Nr. 35 bezieht, entspricht Artikel 7 Buchstabe 
auf den sich der geänderte Artikel 13 bezieht; Artikel 8.2 Buchstabe e enu 
spricht Artikel 7 Buchstabe b, Artikel 8.2 Buchstabe g entspricht teilweise 
Artikel 7 Buchstabe f. 

Das Recht der betroffenen Person, gegen die Verarbeitung (einschließlich 
der Übermittlung) Widerspruch einzulegen, wird in Abschnitt VI Artikel 5 
und 16 des geänderten Textes behandelt. Der Inhalt der Änderung Nr. 35 
Absatz 3 steht in dem geänderten Artikel 15 (ohne Bezugnahme auf das nicht 
erforderliche und verwirrende Konzept der mit der Verarbeitung beauftragten 
Person) . 

In dem geänderten Text wird nicht zwischen öffentlichem und privatem Sektor 
unterschieden (die Verpflichtung, zum Zeitpunkt der Übermittlung zu infor- 
mieren, galt in dem ursprünglichen Wortlaut hauptsächlich für den Privat- 
sektor) . 
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Auf die "on 1 ine-Abf rage" wird nicht eingegangen, da diese im Konzept der 
Übermittlung enthalten ist. Die Informationspflicht gilt nicht: 

wenn die Übermittlung für die Wahrung lebenswichtiger Interessen der 
betroffenen Person erforderlich ist (in einem solchen Fall kann die 
Informatierung nicht möglich sein oder den Interessen der betroffenen 
Person zuwiderlaufen) ; 

- wenn die betroffene Person bereits auf die Übermittlung oder die 
mögliche Übermittlung hingewiesen wurde; 

wenn die Übermittlung durch Gesetz vorgesehen ist, das eine Ausnahme von 
der Informationspflicht der betroffenen Person vorsieht; 

wenn die Übermittlung durch einen der Gründe nach Artikel 14 Absatz 1 
begründet wird (nationale Sicherheit, Verteidigung, öffentliche' Sicher- 
heit usw- ) . 

Neben der Zweckbestimmung der Verarbeitung, der Art der betreffenden Daten 
und dem Namen und der Anschrift des Verantwortlichen der Verarbeitung (oder 
seines Vertreters), wurde für erforderlich gehalten, daß die betroffene 
Person auch über die Empfänger oder die Kategorien der Empfänger und das 
Recht auf Auskunft, Berichtigung und Widerspruch unterrichtet wird. 

Absatz 3 des geänderten Artikels 12 entspricht Artikel 10 des ursprüng- 
lichen Textes über die besonderen Ausnahmen von der Pflicht zur Benach- 
richtigung der betroffenen Person (wenn sich die Benachrichtigung als 
unmöglich erweist oder mit unverhältnismäßigen Bemühungen verbunden ist, 
ihr ein überwiegendes berechtigtes Interesse des Verantwortlichen der 
Verarbeitung oder ein vergleichbares Interesse eines Dritten entgegen- 
steht). Hinzugefügt wurde, daß die Kontrollbehörde bei 'der Genehmigung 
einer Ausnahmebestimmung gegebenenfalls geeignete Garantien vorzusehen hat 
(damit die Rechte und Freiheiten der betroffenen Person durch die mangelnde 
Information nicht über Gebühr beeinträchtigt werden) . 

Bei der Gewährung von Ausnahmen von der Informationspflicht der ' betrof f enen 
Person sind insbesondere die Menschenrechts- und humanitären Organisationen 
zu achten, damit die berechtigte Arbeit derartiger Organisationen nicht in 
unangemessener Art und Weise behindert wird. 

Artikel 13 


Auskunftsrecht 

Dieser Artikel enthält die Bestimmungen des ursprünglichen Artikels 14 zu 
dem Auskunftsrecht der betroffenen Person im Hinblick auf ihre personenbe- 
zogenen Daten und das damit verbundene Recht auf Berichtigung, Löschung 
oder Sperrung derartiger Daten (Ziffer 4 (und 7)). Wie in Artikel 14 Zif- 
fer 4 des ursprünglichen Textes hat die betroffene Person gemäß dem 
geänderten Artikel 13 Ziffer 1 das Recht, in angemessenen Abständen, 
unverzüglich und ohne überhöhte Kosten eine Bestätigung des Vorhandenseins 
sie betreffender personenbezogener Daten und gegebenenfalls die Übermitt- 
lung dieser Daten in verständlicher Form zu erhalten. 
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Es obliegt den Mitgliedstaaten, festzulegen, wie derartige Informationen 
der betroffenen Person übermittelt werden, um beispielsweise die Bekannt- 
machung der Daten an die entsprechende Person zu gewährleisten oder die 
Wahrnehmung des Rechtes sowohl des Verantwortlichen der Verarbeitung als 
auch der betroffenen Person zu erleichtern, wenn bestimmte Datenverarbei- 
tungsvorgänge betroffen sind, insbesondere im Fall manueller Dateien, Die 
Mitgliedstaaten haben ebenfalls durch einzelstaatliche Rechtsvorschriften 
zu bestimmen, was "in angemessenen Abständen” bedeutet. Werden die 
Interessen der betroffenen Person und des Verantwortlichen der Verarbeitung 
abgewogen, so können die innerstaatlichen Rechtsvorschriften der Mitglied- 
staaten vorsehen, daß der Verantwortliche der Verarbeitung einer betrof- 
fenen Person,, die ihr Recht auf Auskunft wahrnimmt, nicht mehr als die 
tatsächlich entstandenen Kosten in Rechnung stellt. Die Kosten dürfen nicht 
überhöht sein. 

Artikel 13 Ziffer 1 (ursprünglicher Artikel 14 Ziffer 4) wurde geändert, um 
die Änderung Nr. 48 zu berücksichtigen, die teilweise aufgenommen wurde 
Das Auskunftsrecht kann auf Antrag wahrgenommen werden. Der betroffenen 
Person wird das Recht gewährt, Informationen .über die Herkunft (nicht die 
allgemeine Herkunft, das wäre zu vage und somit sinnlos) und die allgemeine 
Verwendung (nicht die genaue Benutzung, dies könnte zu belastend und 
bürokratisch sein) der betreffenden personenbezogenen Daten zu erhalten. 
Darüber hinaus können die Mitgliedstaaten spezielle Vorschriften über die 
Wahrnehmung des Auskunftsrechts der betroffenen Person erlassen, wenn es um 
medizinische Daten geht. Aus Gründen des Schutzes der betroffenen Person 
vor einem extremen psychologischen Schock kann ihr eine derartige Informa- 
tion durch einen ärztlichen Sachverständigen übermittelt werden. 

Artikel 13 Ziffer 2 wurde hinzugefügt, um die Änderung Nr. 132 aufzunehmen. 
Er br ;t dem Mißbrauch einer Wahrnehmung des Auskunftsrechts entgegen den 
bere . ligten Iriteresser der betroffenen Person vor (Beispiel des. Parla- 
ment i : der betroffenen ?erson darf von keiner Person als Voraussetzung für 
eine Beschäftigung oder Weiterbeschäftigung zur Auflage gemacht werden, von 
ihrem Auskunftsrecht in bezug auf ihre eigenen personenbezogenen Daten 
Gebrauch zu machen. Die Auskunft auf Antrag eines Dritten ist allerdings 
erlaubt, sofern sie sich auf einzelstaatliche oder gemeinschaftlich 
Rechtsvorschriften stützt (Beispiel: Bescheinigungen über den Familien 
Status usw. , die für die Feststellung der Rechte für verschiedene 
Leistungen der sozialen Sicherheit* erforderlich sind) . 

Artikel 13 Ziffer 3 (ursprünglicher Artikel 14 Ziffer 5). gibt der be- 
troffenen Person das Recht auf Berichtigung, Löschung oder Sperrung von 
Daten, wenn ihre Verarbeitung mit der Richtlinie unvereinbar ist. Im 
Vergleich zu Ziffer 5 des ursprünglichen Textes wurden geringfügige 
Änderungen vorgenommen, die darauf abzielen, den geänderten Text wie vom 
Parlament gefordert (Änderung Nr. 46) klarer zu machen. 

Die Änderung Nr. 49 wurie ebenfalls teilweise aufgenommen. "Ganz oder teil- 
weise fehlende Informa . ..onen" wurden "unvollständige Daten" genannt und in 
den geänderten Artikel 13 Ziffer 3 aufgenommen. Die Begriffe "entsprechend 
den Umständen" und "Löschung" sind in diesem Zusammenhang sinnvoll und 
wurden deshalb in dem geänderten Text (außer in der* englischen Fassung) 
beibehalten. 
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Der Wortlaut der Richtlinie ("entsprechend den Umständen") überläßt die 
konkrete Form der Rechte der betroffenen Person im Hinblick auf Berich- 
tigung, Löschung oder Sperrung in den verschiedenen Situationen, in denen 
personenbezogene Daten in Verletzung der Richtlinie verarbeitet und benutzt 
werden, den Datenschutzgesetzen der Mitgliedstaaten. 

Artikel 13 Ziffer 4 entspricht dem ursprünglichen Artikel 14 Ziffer- 7. 
Dieser Absatz greift das Interesse der betroffenen Person auf, daß Dritten, 
denen unzutreffende oder unvollständige Daten übermittelt wurden, die 
Berichtigung, Löschung oder Sperrung der Daten mitgeteilt wird, damit sie 
sie ebenfalls berichtigen, löschen oder sperren können. 

Artikel 13 Ziffer 5 wurde als zusätzliche Sicherung im Fall von Entschei- 
dungen durch automatische Mittel eingefügt, die zu Ergebnissen führen, die 
den Interessen der betroffenen Person entgegenstehen. In diesem Fall hat 
die betroffene Person das Recht, die bei der entsprechenden Verarbeitung 
verwendeten Begründungen zu erfahren. 

Artikel 14 


Ausnahmen vom Auskunf tsrecht 


Der Artikel entspricht dem ursprünglichen Artikel 15. Er erlaubt den Mit- 
gliedstaaten eine Beschränkung des Auskunftsrechts der betroffenen Person, 
um ein überwiegendes öffentliches Interesse oder ein Interesse einer Person 
zu schützen, das den gleichen Wert hat wie das Recht auf Privatsphäre der 
betroffenen Person. Den Mitgliedstaaten obliegt die Entscheidung, inwieweit 
sie in ihr inländisches Datenschutzgesetz Ausnahmen auf der Grundlage von 
Artikel 14 aufnehmen, es sei denn, solche Ausnahmen sind aufgrund einer ge- 
meinschaftsrechtlichen Verpflichtung (z.B. auf dem Gebiet der Bankenauf- 
sicht oder der Geldwäsche) zwingend vorgeschrieben. Die in dieser 
Best iirjp.ur.g '’h vaelegten Ausnahmen, beschränken sich allerdings auf die für 
die Erhalcung grundlegender Werte in einer demokratischen Gesellschaft 
erforderlic.ien Beschränkungen, die durch Gesetz erlassen werden müssen. 

Die Änderung Nr. 54 wurde auf gegrif fen. Der geänderte Artikel 14 beschränkt 
sich nicht nur auf die Verarbeitung durch den öffentlichen Bereich, sondern 
auch auf Verarbeitung durch den Privatsektor. ' 

Das Verzeichnis der Interessen in Absatz 1, die eine Beschränkung des A'us- 
kunftsrechts gemäß Artikel 14 der Richtlinie rechtfertigen, ist er- 
schöpfend . 

Der Begriff "Sicherheit des Staates" ist als Schutz der nationalen 
Souveränität gegen Bedrohungen von innen und außen auszulegen. 

"Strafverfolgung" betrifft die Verfolgung von Verbrechen, die bereits be- 
gangen wurden, während das Konzept "öffentliche Sicherheit" alle politi- 
schen Funktionen staatlicher Organe einschließlich der Verbrechensverhütung 
umfaßt. Das "zwingende wirtschaftliche und finanzielle Interesse eines 
Mitgliedstaats oder der Europäischen Gemeinschaft" bezieht sich auf alle 
wirtschaftspolitischen Maßnahmen und Mittel zur Finanzierung der Politik 
eines Mitgliedstaats oder der Gemeinschaft, z.B. Devisenkontrollen, 
Kontrollen des Außenhandels und Steuererhebung. Nur ein bedeutendes Inter- 
esse dieser Art rechtfertigt allerdings eine Beschränkung des Auskunfts- 
rechts . 
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Schließlich wird ein Interesse einer anderen Person, einschließlich 
gegebenenfalls dem des Verantwortlichen der Verarbeitung selbst, das dem 
Auskunf tarecht der betroffenen Person oder den Rechten und Freiheiten 
anderer entspricht, als ausreichender Grund für die Beschränkung ' des 
Auskunftsrechts angesehen. Derartige Interessen sind; die Betriebs- 
geheimnisse anderer; Regeln für das Berufsgeheimnis, das für die Tätigkeit 
von Juristen oder Ärzten gilt; das Recht einer Person, ihre eigene 
Verteidigung in einem Gerichtsverfahren vorzubereiten; der Schutz -der 
Menschenrechte. Ausnahmen von dem Recht der betroffenen Person auf Zugriff 
zu den sie betreffenden Daten, die sich im Besitz von Menschenrechts- 
organisationen befinden, sollten von den Kontrollbehörden in Fällen 
gestattet werden, in denen ein Hinbeschränkter Zugriff andere Personen (wie 
vertrauliche Informationsquellen) oder die überwiegenden Inte:-*^.isen 
derartiger Organisationen gefährden kann. Wird der betroffenen Pers die 
Auskunft über sie betreffende, in einer Datei gespeicherte Daten aufgrund 
eines Interesses nach Artikel 14 Ziffer 1 verweigert, so sieht Artikel 14 
Ziffer 2 vor, daß die Datenschutzbehörde auf Antrag der genannten Person 
die notwendigen Überprüfungen der Datei vornehmen muß, in der die Daten 
enthalten sind (wie in dem ursprünglichen Vorschlag Artikel 15 Ziffer 2). 
Zweck dieser Kontrolle ist es, nachzuprüfen, ob die Verarbeitung angesichts 
der in dieser Richtlinie festgelegten Kriterien zulässig ist. Bei der 
Kontrolle muß die Datenschutzbehörde alles vermeiden, was den gemäß Ab- 
satz 1 geschützten Interessen zuwiderläuft. 

Aufgrund von Artikel 14 Ziffer 3 (ursprünglich Artikel 15 Ziffer 3) können 
die Mitgliedstaaten das Auskunftsrecht für Daten einschränken, die vorüber- 
gehend Gegenstand einer Verarbeitung für statistische Zwecke sind, da 
derartige Vorgänge nur eine geringfügige Bedrohung der betroffenen Person 
darstellen. 

ABSCHNITT VI 

WIDERSPRUCHSRECHT DER BETROFFENEN PERSON 
Artikel 15 


Widerspruch aus berechtigten Gründen 

Gemäß Artikel 15 Absatz 1, der Artikel 14 Absatz 1 des ursprünglichen 
Vorschlags aufgreift, hat die betroffene Person das Recht, aus berechtigten 
Gründen dagegen Widerspruch einzulegen, daß sie betreffende Daten Gegen- 
stand einer Verarbeitung sind. Die berechtigten Gründe können das Fehlen 
einer gesetzlichen Berechtigung einer bestimmten Verarbeitung personenbe- 
zogener Daten sein, beispielsweise, 'weil die in ^apitel II der Richtlinie 
über die Rec^>tmäßigkeit dieser Verarbeitung vorgesehenen Voraussetzungen 
nicht erfüllt sind. Eine betroffene Person wäre hingegen juristisch nicht 
berechtigt, Widerspruch gegen eine zulässige Verarbeitung einzulegen, die 
für die Erfüllung des sie mit dem Verantwortlichen verbindenden Vertrags 
erforderlich ist. 

Absatz 2 greift Artikel 9 Absatz 3 des ursprünglichen Vorschlags auf. Er 
führt aus, daß der Verantwortliche der Verarbeitung im Fall des Wider- 
spruchs unter den in Absatz 1 vorgesehenen Bedingungen verpflichtet ist, 
die Verarbeitung einzustellen. 
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Absatz 3 führt die Bestimmungen von Artikel 14 Absatz 6 des ursprünglichen 
Vorschlags weiter aus. Die Verpflichtungen des Verantwortlichen der 
Verarbeitung gegenüber den" betrof f enen Personen werden präzisiert, wenn er 
in Anwendung der übrigen Bestimmungen des Richtlinienvorschlags ermächtigt 
ist, Dritten für besondere Werbezwecke Daten zu übermitteln- Diese Ver- 
pflichtungen gelten unabhängig von der Art der Werbung, ob es sich um eine 
kommerzielle Werbung oder um eine Werbung durch oder für eine karitative 
Vereinigung oder eine politische Partei handelt. Diese Verpflichtungen 
bestehen für den Verantwortlichen der Verarbeitung darin, sich zu 
vergewissern, daß den betroffenen Personen vor der Übermittlung aus- 
drücklich die Möglichkeit angeboten wurde, die Daten unentgeltlich löschen 
zu lassen. Diese Verpflichtung gilt auch, wenn die Daten nicht übermittelt, 
sondern für dieselben Zwecke von einem Verantwortlichen der Verarbeitung im 
Auftrag eines Dritten benutzt werden. Der Verantwortliche der Verarbeitung 
kann seinen Verpflichtungen bei seinen regelmäßigen Kontakten mit den 
betroffenen Personen nachkommen, ohne notwendigerweise eine spezifische 
Korrespondenz zu führen. 

Dieser Absatz betrifft nur die schriftliche Werbung. Die Maßnahmen für den 
Schutz der Personen gegen unerwünschte, durch Telekommunikationsmittel vor- 
genommene Anfragen sind in dem geänderten Richtlinienvorschlag vorgesehen, 
mit dem Personen im Rahmen der Telekommunikationsnetze geschützt werden 
sollen. 

Artikel 16 


Automatisierte E in zel ent Scheidungen 

Die Gefahr einer mißbräuchlichen Verwendung der Informatik bei der Ent- 
scheidungsfindung ist eine der Hauptgefahren der Zukunft: Das von der 
Maschine’ gelieferte Ergebnis, die immer höher entwickelte Software und 
Exper censyrteren zugrundelegt, hat einen scheinbar objektiven und unbe- 
streitbaren C- rakter, dem der menschliche Entscheidungsträger übermäßige 
Bedeutung ..Rimessen kann, wenn er seiner Verantwortung nicht nachkommt. 
Artikel 16 Absacz i legt deshalb den Grundsatz fest, demzufolge eine Person 
das Recht hat, einer Verwaltungsmaßnahme oder Entscheidung im privaten 
Bereich, die ihr vorgehalten wird, nicht unterworfen zu sein, die sich aus- 
schließich auf eine automatisierte Verarbeitung stützt, die ein Persönlich- 
keitsprofil erstellt. 

Dieser Absatz 1 ist im Vergleich zu dem ursprünglichen Vorschlag über- 
arbeitet worden, um genauer auf die Fälle einzugehen, für die seine 
Bestimmungen gelten. 

Drei Bedingungen müssen gegeben sein: 

- Die Person muß einer beschwerenden Entscheidung unterworfen sein. Es muß 
sich um eine Entscheidung handeln, die ihr gegenüber wirksam ist, die 
für sie Konsequenzen hat; die Tatsache beispielsweise,- daß kommerzielle 
Prospekte einer Reihe durch Computer bestimmter Personen zugeschickt 
werden, stellt keine beschwerende Entscheidung dar. 
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Es muß sich um eine Entscheidung handeln, eie sich ausschließlich auf 
eine automatisierte Verarbeitung stützt: Verboten ist die strikte 
Anwendung der von dem System erzielten ^^rgebnisse durch den Benutzer, 
Die Informatik kann eine Hilfe für die Entscheidung darstellen, in 
keinem Fall aber die einzige Grundlage für diese sein; für die 
menschliche Beurteilung muß Raum sein. 

Im Widerspruch zu diesem Grundsatz stünde beispielswei :e, wenn -ein 
Arbeitgeber die Bewerbung eines Arbeitsuchenden lediglich aufgrund der 
Ergebnisse eines psychotechnischen Computertests ablehnen würde, oder 
auch die Produktion von Listen über derartige Beurteilungssoftware, die 
Noten zuweisen und die Bewerber in einer bestimmten Reihenfolge auf der 
Grundlage ihres Persönlichkeitstests einordnen; 

Die Verarbeitung hat auf die die Person betreffenden Daten Variable 
anzuwenden, die ein Standardprofil der Persönlichkeit bestimmen (das als 
gut oder als schlecht eingestuft wird), was alle Fälle ausschließt, in 
denen das System keine Definition des Persönlichkeitsprofils gibt: die 
Tatsache beispielsweise, daß . eine Person aus einem Geldautomaten nicht 
den gewünschten Betrag erhalten kann, weil sie ihren Kredit bereits 
erschöpft hat, fällt nicht unter eine solche Definition. 

In der geänderten Fassung ist aufgrund des Grundsatzes, demzufolge der 
erforderliche Teil der menschlichen Beurteilung den Risiken entsprechen 
muß, die eine Entscheidung für den Menschen mit sich bringt, die auf ihn 
ein Persönlichkeitsprofil anwendet, das ausschließlich durch Computer 
ausgearbeitet wurde. 

Eine parlamentarische Änderung (Nr. 46) schlug vor, eine solche Ent- 
scheidung im Falle der Einwilligung der Person oder im Rahmen eines 
Vertrags oder einer vertragsähnlichen Vertrauensbeziehung zu erlauben. 

Der geänderte Vorschlag nimmt die vorgeschlagenen Umstände nicht auf; wenn 
ein für die betroffene Person ungünstiges Machtverhältnis besteht (bei- 
spielsweise der Fall der arbeitssuchenden Person), so könnten weder ihre 
Einwilligung noch die Perspektive eines Vertrags eine ausreichende Garantie 
bieten. 

Nach Absatz 2 kann die Person einer Unterscheidung nach Absatz 1 unter- 
worfen werden, wenn diese im Rahmen ‘ eines zwischen ihr und dem Verant- 
wortlichen der Verarbeitung geschlossenen Vertrages ergeht oder im Rahmen 
des Abschlusses eines solchen Vertrages, sofern die Person entweder 
zufriedengestellt wird oder geeignete Maßnahmen (die die Mitgliedstaaten 
präzisieren können) die Wahrung ihrer berechtigten Interessen garantieren. 
Diese Garantie kann aus einer Rechtsvorschrift, den Meldeverfahren oder 
auch betriebsinternen Maßnahmen entstehen. 

So kann beispielsweise für die Kreditvergabe an eine Einzelperson auf die 
Technik des "credit scoring" zurückgegriffen werden, wenn die positiven 
Kreditvergabeentscheidungen lediglich auf der Grundlage einer automatischen 
Risikobewertung ergehen; bei negativer Punktzahl muß die Wahrung der 
berechtigten Interessen der betroffenen Person garantiert werden (bei- 
spielsweise, wenn die endgültige Entscheidung ausgesetzt wird, bis die 
Dienste eine nicht automatische Prüfung der Akte vorgenommen haben können) . 
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MSCHNITT VH 

SICHERHEIT DER VERARBEITUNG 
Artikel 17 

Dieser Artikel ent spricht ■ Art ikel 18 des ursprünglichen Textes. 

Eine Bedrohung des Rechtes auf Privatsphäre der betroffenen Person kommt 
nicht nur von dem Verantwortlichen der Verarbeitung, der die personen- 
bezogenen Daten für seine eigenen Zwecke erhebt, speichert, verarbeitet und 
übermittelt. 

Das Recht auf Privatsphäre ist auch gefährdet, wenn die Daten durch Dritte 
über nicht genehmigten Zugriff zu den Daten und deren Verwendung mißbraucht 
werden. 

Gemäß Artikel 17 haben die Mitgliedstaaten insbesondere den Verant- 
wortlichen der Verarbeitung zu verpflichten, zum Schutz der Datenver- 
arbeitung gegen die Gefahr unzulässigen Zugriffs durch Dritte oder 
zufälligen Datenverlusts , einschließlich zufälliger oder unrechtmäßiger 
Zerstörung, nicht genehmigter Umgestaltung oder nicht genehmigtem Zugriff 
zu den Daten und jede andere nicht genehmigte Verarbeitung geeignete 
technische und organisatorische Maßnahmen zu treffen. 

Die Änderung Nr. 67 wurde teilweise berücksichtigt. Statt "automatisierte 
Dateien" wurde die "automatisierte Verarbeitung der Daten" verwendet. Der 
Bezug auf die "Kosten für die Maßnahmen" wurde gestrichen. In dem 
geänderten Text wird der Begriff "Verantwortlicher der Verarbeitung" 
verwendet - 

Aus Gründen der Klarheit wurden einige geringfügigere Änderungen vorge- 
nommen. In Absatz 1 wurde die "nicht genehmigte Zerstörung" durch die 
"unrechtmäßige Zerstörung" ersetzt, der "nicht genehmigte Zugriff" durch 
die "nicht genehmigte Weitergabe"; im englischen Text trat "the state of 
technology" an die Stelle von "the state of the art". In Absatz 2 wurde in 
der englischen Fassung "adequate security" durch "appropriate security" 
ersetzt. In Absatz 3 wurde der "Datenabruf in automatischem Verfahren" 
durch die "Möglichkeit des Fernzugriffs” ersetzt. In Ziffer 4 wird 
ausgeführt, daß die Pflichten hinsichtlich der Sicherheit auch den Personen 
obliegen, die bei der Durchführung der Verarbeitung Verantwortung tragen, 
insbesondere den mit der Verarbeitung beauftragten Personen. 

Daneben wurden zwei wesentlichere Änderungen vorgenommen. In Absatz 3 wird 
ausgeführt, daß die technischen Anlagen und Programme im Fall des Fern- 
zugriffs so zu gestalten sind, daß der Zugriff im Rahmen der Rechtmäßigkeit 
der Verarbeitung erfolgt (nicht im Rahmen der vom Verantwortlichen der 
Verarbeitung erteilten Berechtigung; da eine derartige Genehmigung sicher 
nicht über den Rahmen einer rechtmäßigen Verarbeitung hinausgehen könnte, 
wäre sie für die Zwecke des Datenschutzes irrelevant). 
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In Absatz 5 wurde eine Ausnahme von der Verpflichtung aufgenommen, Dritten 
nicht ohne das Einverständnis des Verantwortlichen der Verarbeitung Daten 
zu übermitteln, wenn die Übermittlung aufgrund einzelstaatlicher oder 
gemeinschaftlicher Rechtsvorschriften vorgesehen ist (Beispiel: für straf- 
rechtliche Ermittlungszwecke). 

ABSCHNITT VIII 

MELDUNG 

Artikel 18 


Meldepflicht bei der Kontrol Ibehörde 


Artikel 18 greift die Artikel 7 und 11 des ursprünglichen Vorschlags über 
die Meldung von Dateien im öffentlichen und im privaten Sektor' bei der 
Kontrollbehörde auf. Gemäß dem Wunsch des Parlaments in seiner Steilung 
nähme wurden diese Bestimmungen zusammengefaßt. Diese Form hat den Vorteil, 
hervorzuheben, daß bei der Meldung unabhängig von dem Sektor, in dem die 
Datenverarbeitungen erfolgen, derselbe Ansatz für die Meldung zugrunde 
gelegt werden muß. 

Gegenstand, Tragweite und Inhalt der ursprünglichen Bestimmungen wurden 
allerdings geändert, um die Stellungnahme des Parlaments zu berücksichtigen, 
und die Kohärenz des geänderten Vorschlags zu gewährleisten. Die Änderungen 
des Parlaments (Nummern 39, 40, 41, 118 und 119) führen zu einer Ent- 

wicklung der Bestimmungen über die Meldung in mehreren Artikeln. Durch die 
Meldung soll neben der Transparenz der Verarbeitungen wie in dem ursprüng- 
lichen Vorschlag eine selektive Kontrolle der Zulässigkeit der Ver- 
arbeitungen durch die Kontrollbehörde sichergestellt werden. Je nach dem 
Risikograd, den sie aufweisen, hat die Kontrolle im allgemeinen a 
posteriori und in einigen beschränkten Fallen a priori zu erfolgen. 

1. Artikel 18 Absatz 1 ändert' die in dem ursprünglichen Vorschlag 
vorgesehene Meldepflicht wie folgt: 

a) Um die Kohärenz des in dem geänderten Vorschlag zugrundegelegti. 
Ansatzes zu gewährleisten, wird vorgeschlagen, daß die Meldung die 
Verarbeitung personenbezogener Daten und nicht mehr die Datei 
betrifft. Diese Änderung richtet .die Kontrolle mehr an der Benutzung 
und den Vorgängen im Zusammenhang mit den Daten im Hinblick auf die 
Realisierung bestimmter Zweckbestimmungen aus (Art der Vorgänge, der 
Verknüpfungen, der Übermittlungen an Dritte, Art der erhobenen, 
gespeicherten Daten usw. ) und weniger an der speziellen technischen 
Gestaltung der Daten in Dateien, die im Hinblick auf den Schutz der 
Personen möglicherweise wenig bedeutend ist, wenn die Daten 
automatisiert sind; 
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b. das Kriterium der Datenübermittlung an Dritte, das in dem 

ursprünglichen Vorschlag zugrundegelegt wurde, um die Verpflichtung 
zu begründen, wurde wegen der Kritik an seinem unangemessenen 
Charakter nicht • auf genommen, da bestimmte Übermittlungen an Dritte 
die Rechte der Personen nicht beeinträchtigen; außerdem sollte be- 
rücksichtigt werden, daß hingegen interne Verarbeitungen Risiken 
aufweisen können, insbesondere wenn ihr Ziel darin besteht, Bevölke- 
rungsgruppen auszuwählen. In diesem Zusammenhang schien es 

zweckmäßig, die Meldepflicht auf alle Verarbeitungen personenbe- 
zogener Daten vor ihrer Durchführung auszudehnen. Dieser Ansatz soll 
die Verantwortlichen der Verarbeitung veranlassen, die erforderlichen 
Maßnahmen für die Einhaltung der ihnen obliegenden Pflichten vor der 
Realisierung ihrer Verarbeitungen zu planen. Für eine Beurteilung der 
praktischen Auswirkungen dieser Änderung müssen allerdings die 
Bestimmungen des Artikels 19 über die Vereinfachung und Befreiung von 
Meldepflicht berücksichtigt werden; 

c, um die Berücksichtigung der globalen, bisweilen vielschichtigen 
Realität der durch einen Verantwortlichen der Verarbeitung vorge- 
nommenen Verarbeitungen zu berücksichtigen und eine übermäßige 
Häufung der Meldungen zu vermeiden, wird vorgeschlagen, daß eine 
Meldung das gesamte Paket der - repetitiven oder nichtrepet it iven - 
Verarbeitungen betrifft, mit denen eine oder mehrere vom Standpunkt 
des Verantwortlichen der Verarbeitung und der betroffenen Personen 
aus miteinander verbundene Zweckbestimmung (en) realisiert werden 
sollen. So dürfte beispielsweise nur eine Meldung für alle Verarbei- 
tungen gefordert werden, die die Kreditverwaltung betreffen und von 
einer Kreditanstalt vorgenommen werden, um die Kreditanträge zu 
berücksichtigen, zu prüfen, die Kredite zu gewähren, die geschuldeten 
Außenstände einzutreiben und strittige Fälle zu -verfolgen; 

d- zur Vermeidung übermäßiger administrativer Schritte wird vorge- 
schlagen, hinzuzu fügen , daß die Meldepflicht nur vollständig oder 
teilweise automatisierte Verarbeitungen betrifft, um den Mitglied- 
staaten freizustellen, ob sie die, Pflicht gemäß Artikel 21 auf die 
manuellen Dateien ausdehnen wollen. 

2. Artikel 18 Absatz 2 fügt Präzisionen über den Inhalt der Meldung hinzu: 

a. Die Angabe der Kategorie(n) der von der Verarbeitung betroffenen 
Personen wird hinzugefügt (ehemalige Kunden des Unternehmens, 
Personal des Unternehmens, Prospekt oder Empfänger einer Sozialhilfe 
usw.), 

b. außerdem wird hinzugefügt, daß die Information über Dritte, denen die 
Daten übermittelt werden, im Hinblick auf Kategorien von Dritten 
präzisiert werden kann (Änderung Nr. 39); 

c. zu der Beschreibung der Daten, auf die sich die Verarbeitung bezieht, 
wird die Möglichkeit hinzuqefügt, nur Datenkategorien zu präzisieren; 
dies reicht aus, wenn ein zu umfassendes technisches Detail keine 
wichtigen Elemente für das Verständnis der betreffenden Verarbeitung 
hinzufügen würde; 
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d. die Existenz von Dacentransfers in Drittländer wird als Angabe 
hinzugefügt, um die Anwendung der sie betreffenden spezifischen 
Bestimmungen zu erleichtern und die Berücksichtigung ihres spezifi- 
schen Kontexte zu gewährleistend- 
em die in dem ursprünglichen Vorschlag vorgesehene Beschreibung der 
Sicherheitsmaßnahmen wird beibehalten, weil'" ihre Kontrolle vor allem 
im Rahmen der Entwicklung der über Telekommunikationsnetze im Fern- 
zugriff erfolgten Verarbeitungen von Bedeutung ist. 

3. Artikel 18 Absatz 3 betrifft die Meldung von Änderungen an den 
Verarbeitungen. Die Meldepflicht der an den Verarbeitungen vorgenommenen 
Änderungen, die den Inhalt der zuv / erfolgten Meldung, die in dem 
ursprünglichen Vorschlag vorgesehen is", betreffen, wird beibehalten, um 
die Aktualisierung der allgemein zugänglichen Verarbeitungen sowie die: 
weitere Kontrolle zu gewährleisten; diese ist besonders wichtig, wenn 
die Zweckbestimmung der Verarbeitung verändert wird oder neue. 
Kategorien von Dritten die Daten, auf die sie* sich bezieht, übermittelt 
werden können. 

4. In den Absätzen 4 und 5 wurde die Stellungnahme des Parlaments aufge- 
griffen (Änderungen Nr. 40, 41, 118 und 119), derzufolge bestimmte 

Verarbeitungen, die geeignet sind, besondere Risiken im Hinblick auf die 
Rechte und Freiheiten der betroffenen Personen mit sich zu bringen, vor 
ihrer Durchführung Gegenstand einer Stellungnahme oder einer Genehmigung 
der Kontrollbehörde sein müssen. 

Die verschiedenen institutioneilen Ansätze in den einzelnen Mitglied- 
staaten wurden berücksichtigt; es schien jedoch besser, in Artikel 18 
Absatz 4 ein ■ Verpflichtung der Mitgliedstaaten aufzunehmen, derartige 
Verarbeitungc vor ihrer Durchführung einer vorherigen Prüfung durch die 
Kontrollbehörua zu unterziehen. Die Mitgliedstaaten können diese nicht 
zwingende Prüfung durch eine gesetzliche Genehmigung oder eine Geneh- 
migung durch die Kontrollbehörde ersetzen- i 

Diese besonderen Risiken können beispielsweise an der Art der ver* 
arbeiteten Daten liegen, insbesondere der in Artikel 8 genannten DatenV_ 
an der Tragweite der Verarbeitung, wenn sie eine ganze nationale 
Bevölkerung betrifft, oder auch an den Zweckbestimmungen, wie 
beispielsweise dem Ausschluß der betroffenen Personen von der Begünsti- 
gung durch ein Recht, eine Leistung oder einen Vertrag (schwarze Listen, 
Verarbeitungen für die Auskunft Dritter über die Zahlungsfähigkeit 
natürlicher. Personen) . 

In Artikel 18 Absatz 4 wird eine Präzision hinzugefügt, mit der im 
Interesse des Verantwortlichen der Verarbeitung die Frist für die 
vorherige Prüfung seines Falls durch die Kontrollbehörde begrenzt wird. 

Dieser in demselben Artikel vorgeschlagene Ansatz dürfte die Mitglied- 
staaten nicht daran hindern, auf der Grundlage ihrer Erfahrung für 
bestimmte Kategorien der genannten Verarbeitungen Maßnahmen für die Ver- 
einfachung und Befreiung von der Meldepflicht gemäß Artikel 19 zu 
treffen. 
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5. Der Vollständigkeit der Vorstellung dieser Bestimmungen halber ist 
herauszustellen, daß die vollständig öder teilweise automatisierten 
Verarbeitungen, die weder unter das Verfahren zur Vereinfachung oder 
Befreiung von der Meldepflicht gemäß Artikel 19, noch unter dasVer fahren 
der vorherigen Prüfung fallen, und somit den Kontrollbehörden in Anwen- 
dung der Bestimmungen des Artikels 18 gemeldet werden, normalerweise wie 
die in Artikel 19 genannten Verarbeitungen nur- der nachträglichen 
Kontrolle der zuständigen Behörden unterworfen sind. Die Kontrollbehörde 
vergewissert sich natürlich der Konformität des befolgten Meldever- 
fahrens im Hinblick auf die Art der Verarbeitung. 

6. Die Anwendung der Gemeinschaftsverfahren gemäß den Artikeln 33 und 34, 
dürfte im Sinne der Stellungnahme des Parlaments {Änderung Nr- 39) die 
für das gute Funktionieren des Binnenmarkts insbesondere im Hinblick auf 
die Artikel 18 und 19 insbesondere erforderlichen besonderen Harmoni- 
sierungen ermöglichen. 

Artikel 19 


Vereinfachung und Befreiung von der Meldepflicht 

Artikel 19 greift die Änderung Nr. 39 des Parlaments auf, die auf die 
Vereinfachung des Verfahrens für bestimmte Verarbeitungskategorien abzielt, 
und entwickelt sie weiter. 

In Artikel 19 Absatz 1 wird vorgeschlagen, den Mitgliedstaaten die 
Verpflichtung zu übertragen, eine derartige Maßnahme zur Vereinfachung des 
Verfahrens zu treffen. Im übrigen haben sie die Möglichkeit haben, von der 
Meldepflicht zu befreien. 

Um eine im Hinblick auf das Ziel des Schutzes der Personen kohärente 
gemei.nsame '^clitik zu entwickeln, wird vorgeschlagen, ein Kriterium auf- 
zunehmen, da: den Bereich bestimmt, in dem eine Vereinfachung oder 
Befreiung .on der Meldepflicht zweckmäßig ist. Dieses Kriterium zielt auf 
die Verarbeitungen ab, die nicht geeignet sind, die Rechte und Freiheiten 
der betroffenen Personen zu beeinträchtigen. 

• 

Erfahrungsgemäß erfüllen zahlreiche Verarbeitungen personenbezogener Daten 
in großen oder kleinen staatlichen oder privaten Organisationen dieses 
Kriterium und machen deshalb keine detaillierte oder allgemeine Offenlegung 
erforderlich. Es kann sich um in ihrem Inhalt und ihrer Tragweite 
naturgemäß rechtlich weitgehend geregelte Verarbeitungen handeln, um ein- 
fache Verarbeitungen, bei denen sich die betroffenen Personen regelmäßig 
der Zulässigkeit der Verarbeitung vergewissern können, um Verarbeitungen, 
die die betroffenen Personen naturgemäß nicht schädigen können oder um 
Verarbeitungen, die zwar aufgrund ihrer Art empfindlicher sind, deren 
konkretes Umfeld aber die erforderlichen Garantien mit sich bringt. 

In Artikel 19 Absatz 1 wird vorgeschlagen, in bezug auf die Änderung Nr. 23 
des Parlaments zu erwägen, daß für die Verarbeitungen mit dem Ziel der 
Erstellung* von Schreiben oder Dokumenten durch Textverarbeitung, der 
Erfüllung gesetzlicher, buchhaltungsbezogener, steuerlicher oder sozialer 
Verpflichtungen oder auch der Abfrage allgemein zugänglicher dokumentari- 
scher Dienste die Vereinfachung oder Befreiung von der Meldepflicht in 
Betra'cht zu ziehen ist. 
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Die Mitgliedstaaten haben je nach ihrer Erfahrung und den einzelstaatlichen 
Besonderheiten der bereits erfolgten oder neuen Verarbeitungen diese 
Vereinfachungen oder auch Befreiungen schrittweise zu ermöglichen- Davon 
könnten beispielsweise auch Verarbeitungen betroffen sein, die darauf 
abzielen, die Lohnzettel des Personals einer Behörde oder eines Betriebs zu 
erstellen, bestimmte Verarbeitungen, für die wissenschaftliche Forschung 
oder auch bestimmte Verarbeitungen im Zusammenhang mit der Führung medizi- 
nischer Unterlagen von Patienten im Gesundheitswesen- 

Artikel 19 Absatz 2 greift die Änderung Nr. 39 des Parlaments auf, der- 
zufolge die Vereinfachung der Meldepflicht der Mitgliedstaaten Gegenstand 
eines Rechtsakts zu sein hat. Es wird allerdings vorgeschlagen, im Geiste 
dieser Änderung deutlich zu machen, daß das Verfahren für die Ausarbeitung 
der Vereinf achungs- oder. Befreiungsmaßnahme die unal. ngige Kontrollbehörde 
voraussetzt. Damit die Verantwortlichen der Ver ^3eitung in völliger 
Sicherheit beurteilen können, ob die von ihnen geplanten Verarbeitungen im 
Hinblick auf die Vereinfachungsmaßnahme konform sind, wird vorgeschlagen, 
daß in der letztgenannten Maßnahme alle genannten Verarbeitungskategorien 
beschrieben und insbesondere ihre Zweckbestimmung aufgeführt wird, die 
Daten oder Datenkategorien, die sie betreffen, die Kategorien der 
betroffenen Personen, die Dritten oder Kategorien von Dritten, denen die 
Daten übermittelt werden, die Dauer der Aufbewahrung der Daten sowie die 
möglichen Bedingungen für die Durchführung der genannten Verarbeitungen. 

Artikel 19 Absatz 3 greift dieselbe Änderung Nr- 39 des Parlaments auf, der 
zufolge der Klarheit halber darauf hingewiesen werden soll, daß die 
Vereinfachung oder Befreiung von der Meldepflicht den Verantwortlichen der 
Verarbeitung von keiner anderen Verpflichtung aus dieser Richtlinie 
entbindet. 

Artikel 20 

Manuelle Verarbeitung 

Den Mitgliedstaaten steht frei, die Bestimmungen des Abschnitts VIII auf 
manuelle Dateien anzuwenden und diese gegebenenfalls anzupassen. 

Artikel 21 


Register der gemeldeten Verarbeitungen 

Artikel 21 greift Artikel 7 Absatz 1 des ursprünglichen Vorschlags auf, 
der die Führung des Registers der gemeldeten Dateien . des Öffentlichen 
Sektors und die Möglichkeit ihrer Abfrage durch jede Person betrifft. 
Artikel 21 erweitert diese Bestimmung im Sinne der Stellungnahme des 
Parlaments (Änderungen Nr. 37 und 39) auf alle gemeldeten Verarbeitungen 
unabhängig vom Bereich der Zugehörigkeit des Verantwortlichen der 
Verarbeitung. 

Die Abfrage aus dem Register kann allerdings - wie :as Parlament beantragt' 
- unter denselben Bedingungen wie in Artikel 14 für die Beschränkung der 
Ausübung des Auskunftsrechts der Personen für sie betreffende Daten 
eingeschränkt werden. 
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Im Sinne der Stellungnahme des Parlaments (Änderung Nr. 39) präzisiert 
Artikel 21 den Mindest Inhalt des Registers, das die Informationen in 
Artikel 18 Absatz 2 enthalten muß, mit Ausnahme allerdings der Informa- 
tionen über die Maßnahmen, die getroffen werden, um die Sicherheit der 
Verarbeitung zu gewährleisten, damit deren Wirksamkeit nicht beeinträchtigt 
wird. 

KAPITEL III 

RECHTSBKHBLFK, HAITTUNG UND SANKTIONEN 
Artikel 22 


Gerichtliche Rechtsbehelfe 


Artikel 22 greift Artikel 14 Absatz 8 des ursprünglichen Vorschlags auf. 
Die Tragweite dieser Bestimmung wurde allerdings erweitert. Vorgeschlagen 
wird, daß die einzelstaatlichen Rechtsvorschriften den betroffenen Personen 
Rechtsbehelfe zur Verfügung stellen, um ihnen gegebenenfalls zu ermögli- 
chen, nicht nur ihre in Artikel 14 des ursprünglichen Vorschlags auf- 
gelisteten Komplementärrechte zu verteidigen, sondern allgemeiner alle 
Rechte, die ihnen die Richtlinie zuerkennt. 

Artikel 23 

Haftung * 

Gemäß Absatz 1 dieses Artikels wie auch gemäß Artikel 21 Absatz 1 des 
ursprünglichen Vorschlags, ist der Verantwortliche der Verarbeitung 
verpflichtet, Schadenersatz für jeden Schaden einer Person zu leisten, den 
er ‘ aufgrund einer mit dieser Richtlinie unvereinbaren Verarbeitung oder 
Maßnahme verursacht hat. 

Gemäß der Stellungnahme des Parlaments (Änderung Nr. 73) wurde der Begriff 
der “unzulässigen" Verarbeitung als Grundlage der Haftung eingeführt. 
Außerdem wurde der Begriff "Datei" durch den Begriff "Verarbeitung" 
ersetzt. Diese neue Formulierung ermöglicht ein Auf greifen des Inhalts von 
Absatz 2 dieses Artikels gemäß den Anregungen des Parlaments. Mit der 
Verwendung des Begriffs Verarbeitung schließt der geänderte Vorschlag, wie 
das Parlament gewünscht hat, die eigentliche Speicherung der personenbe- 
zogenen Daten als mögliche Grundlage der Haftung ein. 

Die Kommission behält hingegen die Möglichkeit für die Mitgliedstaaten bei, 
eine Befreiung von der Haftung vorzusehen, wenn geeignete Sicherheitsvor- 
kehrungen getroffen* wurden. Der Wortlaut des Textes wurde allerdings 
überarbeitet. Außerdem präzisiert die Kommission aufgrund der Stellungnahme 
des Parlaments, daß die Befreiung von der Haftung nur teilweise oder 
vollständig erfolgen kann. 


37 



Drucksache 12/8329 


Deutscher Bundestag — 12. Wahlperiode 


Artikel 2-. 

Auftragsverarbeitung 


Dieser Artikel greift Artikel 22 des ursprünglichen Vorschlags auf. Er 
verfolgt das Ziel^ zu verhindern, daß sine Verarbeitung durch einen Dritten 
im Auftrag des Verantwortlichen dazu führt, den Schutz der betroffenen 
Person zu verringern. 

Der Begriff ”mit der Verarbeitung beauftragte Person”, der nach der 
Stellungnahme des Parlaments in die Liste der Begriffsbestimmungen 
aufgenommen wurde, wird in dem Wortlaut des Artikels verwendet. Gemäß 
Absatz 2 kann diese Person - wie vom Parlament beantragt - nur im Rahmen 
des mit dem Verantwortlichen der Verarbeitung geschlossenen Vertrags 
handeln. Vorgeschlagen wird, einen ausdrücklichen Bezug auf die Verpflich- 
tungen aus den nationalen Durchführungsvorschriften dieser Richtlinie 
beizubehalten, die die mit der Verarbeitung beauftragte Person ebenfalls 
betreffen. 

Artikel 25 

Sanktionen 


Mit den in den Vorschlag eingebrachten Änderungen soll die Stellungnahme 
des Parlaments berücksichtigt werden (Änderung Nr. 77). Sie legen das Ge- 
_wicht auf die Personen, die möglicherweise mit Sanktionen belegt werden. Es 
handelt sich ganz allgemein um jede Person, die die nationalen 
Durchführungsvorschriften dieser Richtlinie nicht einhält und insbesondere 
- wie das Parlament in seiner Stellungnahme hervorhebt - um Behörden und 
Organisationen des öffentlichen Rechts. 

KAPITEL IV 

WEITERGABE PERSONENBEZOGENER DATEN IN DRITTLÄNDER 

Artikel 26 

Grundsätze 


Dieser Artikel, der Artikel 25 des ursprünglichen Vorschlags aufgreift, 
enthält den Grundsatz, demzufolge der Transfer personenbezogener Daten von 
einem Mitgliedstaat in ein Drittland nur statt finden darf, wenn dieses Land 
ein angemessenes Schutzniveau gewährleistet. Ohne eine derartige Bestimmung 
läge es auf der Hand, daß die Bemühung in der Geqieinschaf t , den Menschen 
ein hohes Schutzniveau zu garantieren, durch die Weitergabe in Drittländer 
zunichte gemacht werden könnten, die keinen ausreichenden Schutz gewähr- 
leisten. 

Der freie Verkehr der Daten zwischen den Mitgliedstaaten, aer mit dem vor- 
liegenden Richtlinienvorschlag eingeführt werden soll, setzt voraus, daß 
für die Weitergabe in Drittländer gemeinsame Bestimmungen angenommen 
werden . 
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Die Beratungen mit den beteiligten Kreisen haben e»-geben, daß in bestimmten 
Fällen Ausnahmen von dem oben genannten Grur \tz erforderlich sind. 
Deshalb sah sich die Kommission im Lichte der Ste. .jngnahme des Parlaments 
veranlaßt, den ursprünglichen Vorschlag zu überarbeiten. Sie schlägt vor, 
daß das Verbot der Transfers in Drittländer, die kein angemessenes 
Schutzniveau gewährleisten, von Ausnahmebestimmungen begleitet wird, die 
mit dem Schutz der Personen vereinbar sind. Dem geänderten Vorschlag 
zufolge kann die Weitergabe in ein Drittland, das kein angemessenes 
Schutzniveau gewährleistet, erfolgen, wenn die betroffene Person ihre 
Einwilligung zu der geplanten Weitergabe im Rahmen vorvertraglicher 
Beziehungen gegeben hat oder wenn die Weitergabe für die Erfüllung eines 
Vertrags zwischen der betroffenen Person und dem Verantwortlichen der 
Verarbeitung erforderlich ist. In diesem Fall wird die betroffene Person 
über die Weitergabe oder die Möglichkeit der Weitergabe in ein oder mehrere 
Drittländer unterrichtet, die kein angemesses Schutzniveau gewährleisten. 
Sie kann beschließen, ob sie das Risiko einer derartigen Weitergabe 
eingehen will oder nicht. Diese Ausnahmebestimmungen scheinen insbesondere 
für die Weitergabe von Daten im Zusammenhang mit Vorgängen von Banken und 
anderen Kreditinstituten sinnvoll zu sein. Ein Transfer in ein Drittland, 
das kein angemessenes Schutzniveau gewährleistet, kann außerdem berechtigt 
sein, wenn er für die Wahrung eines wichtigen öffentlichen Interesses oder 
die Wahrung lebenswichtiger Interessen der betroffenen Person erforderlich 
ist. Mit diesen Ausnahmen soll die internationale Zusammenarbeit (zum 
Beispiel bei der Bekämpfung der Geldwäsche oder im Rahmen der Überwachung 
der Finanzinstitute) ermöglicht werden; auch die Weitergabe medizinischer 
Daten in Fällen, in denen die betroffene Person ihren Willen nicht zum 
Ausdruck bringen könnte, soll möglich gemacht werden. In Ziffer 2 werden 
die Faktoren aufgeführt, die für die Beurteilung des angemessenen 
Charakters zu berücksichtigen sind. Sie umfassen alle Umstände im Zusam- 
menhang mit einem Transfer oder einer Kategorie von Transfers, wie die Art 
der Daten, die Zweckbestimmung der Verarbeitung, die gesetzlichen Bestim- 
mungen des betreffenden Landes. Dazu sind die allgemeinen und sektoriellen 
gesetzlichen Vorschriften, ihre tatsächliche Anwendung sowie die in den 
Verhaltenskodexen ausgedrückten berufsständischen Regeln zu prüfen- Ent- 
sprechend dem Wunsch- des Parlaments in seiner Stellungnahme (insbesondere 
Änderung Nr. 79) wird in der neuen Ziffer 2 hervorgehoben, daß der 
angemessene Charakter des Schutzes im Hinblick auf einen Transfer von Daten 
oder einer Kategorie von Datentransfer zu beurteilen ist. 

Absatz 3, der Artikel 24 Absatz 2 des ursprünglichen Vorschlags auf greift, 
wurde gemäß der Stellungnahme des Parlaments (Änderung Nr. 79) geändert, 
derzufolge die Mitgliedstaaten den angemessenen Charakter des Schutzes 
beurteilen und auf dieser Grundlage gegebenenfalls beschließen, den 
Transfer zu untersagen. Sie teilen der Kommission die Verbotsfälle mit. 

Entsprechend der Stellungnahme des Parlaments (Änderung Nr. 80) sieht der 
geänderte Vorschlag in Absatz 4 dieses Artikels, die dem ursprünglichen 
Absatz 3 entspricht, vor, daß die Kommission die Stellungnahme der in 
Artikel 32 genannten Datenschutzgruppe einzuholen hat, bevor sie Verhand- 
lungen mit einem Drittland einleitet. 
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Artikel 27 


Besondere Maßnahmen 


Artikel 27 greift mit einigen Änderungen den Gedanken von Artikel 25 des 
ursprünglichen Vorschlags auf. Dem neuen Text zufolge kann der Mitglied- 
staat einen Transfer oder eine Kategorie von Transfers personenbezogener 
Daten in ein Drittland genehmigen, das kein angemessenes Schutznrveau 
gewährleistet, wenn der Verantwortliche der Verarbeitung ausreichende 
Nachweise erbringen kann, die garantieren, daß die Rechte der betroffenen 
Personen tatsächlich wahrgenommen werden, und wenn die anderen Mitglied- 
staaten oder die Kommission sich der. geplanten Maßnahme nicht nach einem in 
diesem Artikel vorgesehenen Verfahren widersetzen. Im Fall des Widerspruchs 
kann die Kommission die geeigneten Maßnahmen treffen; sie kann insbesondere 
beschließen, den Transfer zu untersagen, ihn von weiteren Bedingungen 
abhängig zu machen oder Verhandlungen mit dem Verantwortlichen der 
Verarbeitung einleiten, für den die Transfers erfolgen, um Lösungen für die 
gesamte Gemeinschaft herbeizuführen. 

KAPITEL V 

VERHALTENSREGELN 

Die Verhaltensregeln, für die die in anderen Bereichen verwendete Bezeich- 
nung in dem geänderten Vorschlag verwendet wird, waren Gegenstand von 
Artikel 20 des ursprünglichen Vorschlags. Diese Bestimmung zielte darauf 
ab, die Ausarbeitung von ausschließlich gemeinschaftlichen Verhaltensregeln 
zu fördern. Der geänderte Vorschlag enthält zwei Artikel, einen zu den 
nationalen Verhaltensregeln, den anderen zu den gemeinschaftlichen Verhal- 
tensregeln. 

Artikel 28 

Nationale Verhaltensreqeln 

Die einschlägige Erfahrung einiger Mitgliedstaaten veranlaßt die Kommis- 
sion,’ in ihren geänderten Vorschlag eine Bestimmung aufzunehmen, die die 
Ausarbeitung von Verhaltensregeln auf einzelstaatlicher Ebene fördert. Die 
Verhaltensregeln können ein günstiger Faktor für eine gute Akzeptanz der 
geltenden Rechtsvorschriften sein, da die Berufsgruppen unmittelbar an der 
Umsetzung der Rechtsvorschrift beteiligt sind. Gleichzeitig läßt sich somit 
eine zu sehr ins Detail gehende gesetzgeberische Intervention vermeiden, 
sofern ihre Lösungen zufriedenstellend sind. 

Es gibt sehr unterschiedliche Verhaltensregeln, je nach ihrem Inhalt, der 
Berufsgruppe, die sie- ausgearbeitet hat, usw. Sie weisen allerdings alle 
die nachstehenden Merkmale auf: 

- Die Initiative und die Ausarbeitung der Verhaltensregeln stehen unter 
der ausschließlichen Verantwortung der Berufsverbände, unabhängig von 
den Ermutigungen, die sie von seiten der staatlichen Behörden in dieser 
Hinsicht erhalten^ können; 
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ihre Tragweite beschränkt sich darauf, die geltende . Rechtsvorschrift 
umzusetzen oder klar auszudrücken, ohne davon abweichen zu können; 

- Sie haben weder gegenüber Dritten, noch gegenüber den Gerichten bindende 
Wirkung; diese können immer das Gesetz geltend machen, das sie anzu- 
wenden haben. 

Wie die Rechtsvorschriften bestimmter Mitgliedstaaten allerdings deutlich 
machen, ist es möglich, daß die staatliche Behörde und insbesondere der 
Gesetzgeber die von den Wirtschaftsverbänden ausgearbeiteten Verhaltens- 
regeln übernehmen, und ihnen zwingenen legislativen Charakter verleihen. 

9 

Um den Verhaltensregeln eine gewisse Autorität zu verleihen, ohne damit 
ihre Merkmale zu verändern, schlägt die Kommission in Anlehnung an die 
Stellungnahme des Parlaments für die gemeinschaftlichen Verhaltensregein 
(Änderung Nr. 72) vor, die Ausarbeitung der Verhaltensregeln der Stellung- 
nahme der zuständigen nationalen Behörde zu unterwerfen. 

So wird vorgeschl.agen, der Kontrollbehörde zu übertragen, die Begründetheit 
der Verhaltensregeln und die Repräsentativität der Interessenverbände, die 
sie vorbereitet haben, zu prüfen, eine öffentliche Verbreitung der Ver- 
haltensregeln zu gewährleisten, die Stellungnahmen der betroffenen Personen 
oder ihrer Vertreter einzuholen und eine Stellungnahme zu formulieren, die 
mit den Verhaltensregeln veröffentlicht wird. 

Artikel 29 

Gemeinschaftliche Verhaltens rege ln 


Der geänderte Vorschlag orientiert sich an der Stellungnahme des Parlaments 
(Änderung Nr. 72) und den Bestimmungen des Artikels 29, wobei präzisiert 
wird, daß die der Kontrollbehörde für die nationalen Verhaltensregeln 
übertragenen Befugnisse der gemeinschaftlichen Datenschutzgruppe übertragen 
werden. Zur Unterrichtung der Öffentlichkeit wird es Aufgabe der Kommission 
sein, über die Veröffentlichung der Verhaltensregeln zusammen mit der 
Stellungnahme der Datenschutzgruppe im Amtsblatt der EG zu entscheiden. 

KAPITEL VI 

KONTROLLBEHÖRDE UND GRUPPE FÜR DEN SCHUTZ DER RECHTE VON PERSONEN BEI DER 
VERARBEITUNG PERSONENBEZOGENER DATEN 

Artikel 30 


Kontrollbehörde 

Dieser Artikel, der Artikel 26 des ursprünglichen Vorschlags aufgreift, 
sieht die Schaffung einer Kontrollbehörde vor, deren wesentliches Merkmal 
ihre Unabhängigkeit ist. 
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Die Kommission greift in ihrem geänderten Vorschlag die Stellungnahme des 
Parlaments auf (Änderungen Nr. 84, 85, 86 und 87). 

a) Benennung der Kontrollbehörden : Gemäß Absatz 1 können die Mitglied- 
staaten mehrere unabhängige Kontrollbehörden benennen. Dies scheint für 
Mitgliedstaaten mit föderalistischer Struktur, wie insbesondere Deutsch- 
land, unerläßlich. 

b) Befugnisse der Kontrollbehörden ; Neben den Befugnissen der Kontroll- 
behörden aufgrund der obengenannten Bestimmungen insbesondere im Rahmen 
des Meldeverfahrens wird vorgeschlagen, diesen Behörden Untersuchungs- 
und Eingriffsbefugnisse gegenüber den Verantwortlichen der Verarbeitung 
- unter der Kontrolle der gerichtlichen Instanzen - zu übertragen. 

Die Untersuchungsbefugnisse sollen der Kontrollbehörde die Möglichkeit 
geben, bei den Verantwortlichen der Verarbeitung die für die Erfüllung 
ihrer Aufgabe erforderlichen Informationen zu sammeln. Diese Befugnisse 
finden insbesondere im Zugang zu den Daten, die Gegenstand der Verarbeitung 
sind, Ausdruck. Um die Rechte der der Kontrolle der Behörde unterworfenen 
Personen zu achten, müssen diese Befugnisse natürlich unter strikter 
Einhaltung der Vertraulichkeit ausgeübt werden, die für die betreffenden 
Daten nach dem innerstaatlichen Recht gilt. Eine diesbezügliche Bestimmung 
steht in Absatz 6. 

Zur Erfüllung ihrer Aufgabe benötigt die Kontrollbehörde auch tatsächliche 
Eingriffsbefugnisse, wie das Parlament in seiner Stellungnahme ausgeführt 
hat; sie wurden in den geänderten Vorschlag aufgenommen: Befugnis zur 
Anordnung der Sperrung oder Löschung von Daten, Verbot einer Verarbeitung 
usw. Hingegen scheint es nicht erforderlich, in dem Wortlaut der Richtlinie 
auf die Rechtsform dieser Maßnahmen einzugehen, die das Parlament in seiner 
Stellungnahme als Sanktionen bezeichnet. 

Außerdem wird vorgeschlagen, daß die Kontrollbehörde befugt ist, die 
Justizbehörde zu befassen, wenn sie Verstöße gegen die einzelstaatlichen 
Bestimmungen zur Durchführung der Richtlinie feststellt. Diese Befugnis 
wird in den geltenden innerstaatlichen Gesetzen im allgemeinen anerkannt. 
Sie ergibt sich logischerweise zum einen aus der Untersuchungsbefugnis, 
weil es nicht normal wäre, wenn eine mit dem Schutz von Personen' 
beauftragte Person nicht die Justizbehörde . befassen würde, wenn sie einen 
Verstoß gegen den Schutz der Personen feststellen sollte, zum anderen aus 
dem Recht jeder Person, bei der Kontrollbehörde Beschwerde einzulegen. Die 
Konsequenz aus dieser Beschwerde kann das Befassen der Justizbehörde sein. 

c) Vorlage von Jahresberichten : Es ist sehr wichtig, daß die Kontroll- 
behörde in regelmäßigen Abständen einen Tätigkeitsbericht vorlegen kann, 
in dem sie die möglichen Schwierigkeiten bei der Umsetzung der Rechts- 
vorschriften hervorhebt und da .t die neuen Leitlinien angibt. 
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Artikel 31 


Datenschutzgruppe 

Mit diesem Artikel^ der Artikel 27 des ursprünglichen Vorschlags aufgreift/ 
wird ein Ausschuß mit beratender Funktion eingesetzt. 

a) Bezeichnung der Gruppe 

Es wird vorgeschlagen, die Bezeichnung der Datenschutzgruppe gemäß 
Artikel 1 Absatz 1 zu harmonisieren. 

b ) Zusammensetzung und Vorsitz der Gruppe 

Die Änderungen des Parlaments (Änderungen Nr- 88 und 128) betreffen vor 
allem die Zusaunmenset zung und den Vorsitz der Gruppe. Um deren 
Unabhängigkeit zu gewährleisten, deren Notwendigkeit sie in der 
Begründung des ursprünglichen Vorschlags hervorgehoben hat, akzeptiert 
die Kommission die Lösungen der Stellungnahme des Parlaments über den 
Vorsitz der Gruppe, nicht aber die Änderungen, die die Zusammensetzung 
betreffen: 

Vorsitz der Gruppe: Die Kommission schlägt vor, daß die Gruppe einen 
Vorsitzenden mit einer Amtszeit von zwei Jahren wählt, der wieder- 
gewählt werden kann. Diese Zeitraum erscheint für eine gewisse 
Stabilität in der Gruppe ausreichend; 

- Zusammensetzung der Gruppe: Die Kommission bleibt bei ihrem 

ursprünglichen Vorschlag, demzufolge sich die Gruppe aus Vertretern 
der einzelstaatlichen Xontrollbehörden gemäß den vorstehenden 
Bestimmungen zusanvnenset zt . Sollten einige Mitgliedstaaten die ihnen 
freistehende Möglichkeit nutzen, mehrere Kontrollbehörden zu 

benennen., so wird der Gleichbehandlung halber vorgeschlagen, daß die 
Vertretung der Behörden der betreffenden Mitgliedstaaten in der 
gemeinschaftlichen Gruppe über eine gemeinscime Vertretung 

sichergestellt wird. Ohne eine derartige Bestimmung könnte die 
Nutzung der in den vorstehenden Artikeln vorgesehenen Möglichkeit zu 
einem Ungleichgewicht der Vertretungen in der Gruppe führen. 

Die Kommission wünscht in der Gruppe vertreten zu sein; ihre • Dienststellen 
sollen deren ’ Sekretariat übernehmen. 

Artikel 32 

Aufgaben der Datenschut zqruppe 

Dieser Artikel bestimmt die Aufgaben der Gruppe. Dem Vorschlag zufolge soll 
die Gruppe den beratenden Charakter, wie in dem ursprünglichen Vorschlag 
vorgesehen, behalten. Die Gruppe hat die Kommission insbesondere zum 
Zeitpunkt der Ausübung der ‘Rechtsetzungsbefugnis oder der Vorlage neuer 
Vorschläge zu beraten. Sie wird zu der homogenen Anwendung der in Anwendung 
der Richtlinie erlassenen Vorschriften beizutrager naben sowie zu der 
Ausarbeitung einer gemeinsamen Politik für grenzüberschreitende Bewegungen 
in Drittländer*. Die Kommission wird der Gruppe jede in diesem Bereich 
geplante Maßnahme zur Stel Iungp,ahm*e vorlegen- 
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Die Gruppe nimmt ihre Aufgaben über Stellungnahmen und Empfehlungen wahr, 
die sie der Kommission und gegebenenfalls dem Beratenden Ausschuß unter- 
breitet, Dazu greift der geänderte Vorschlag teilweise die Stellungnahme 
des Parlaments auf (Änderungen Nr. 90, 91 und 92). 

Die Kommission teilt der Gruppe mit, welche Konsequenzen sie aus ihren 
Stellungnahmen gezogen hat, indem sie Berichte veröffentlicht, die dem 
Parlament übermittelt werden. Die Gruppe erstellt jährlich einen Bericht 
über den Stand des Schutzes in der Gemeinschaft und in den Drittländern. 
Dieser der Kommission und dem Parlament übermittelte Bericht wird 
veröffentlicht. 

Die Kommission teilt den (in der Änderung Nr. 89 ausgedrückten) Wunsch des 
Parlaments, das Sekretariat der Gruppe mit den notwendigen Mitteln auszu- 
statten, die ihm die Erfüllung der von der Richtlinie übertragenen Aufgaben 
ermöglichen. Insbesondere im Rahmen des Haushaltsverfahrens sorgt die 
Kommission dafür, daß die G*;uppe über diese Mittel verfügt. Es scheint 
allerdings nicht zweckmäßig, eine diesbezügliche Bestimmung in' den 
geänderten Vorschlag aufzunehmen. 

KAPITEL VII 

RECHTSETZÜNGSBEFUGNIS DER KOMMISSION 
Artikel 33 und 34 


Ausübung der Rechtsetzungsbefugnis und Beratender Ausschuß 

Die Kommission behält ihren ursprüngliche Vorschlag aufrecht. Technische 
Modalitäten für die Anpassung der Richtlinie werden aufgrund der Tragweite 
und des technischen Charakters des Bereiches der Verarbeitung personen- 
bezogener Daten erforderlich sein. 

SCHLÜSSBESTIMMONGEN 

Artikel 35, 36 und 37 

In Artikel 35 Ziffer 2 des geänderten Vorschlags ist eine Übergangsmaßnahme 
vorgesehen, die - wie das Parlament in seiner Stellungnahme zu der Meldung 
(Änderung Nr. 37) anregt - ein schrittweises Inkrafttreten der Bestimmungen 
in Anwendung der Richtlinie im Hinblick auf Verarbeitungen ermöglicht, ‘ die 
vor dem Inkrafttreten dieser Vorschriften erfolgt sind. Eine Dreijahres- 
frist scheint dafür angemessen. 

Gemäß dem Wunsch des .Parlaments (Änderung Nr. 95) wird in Artikel 36 
vorgeschlagen, daß der regelmäßige Bericht über die Anwendung der Richt- 
linie, der der Kommission, dem Parlament und dem Rat vorgelegt wird, Gegen- 
stand einer Veröffentlichung ist. 
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Vorschlag für eine Richtlinie des 
Rates zum Schutz von Personen bei 
der Verarbeitung personenbezogener 
Daten 

DER RAT DER EUROPÄISCHEN GEMEIN- 
SCHAFTEN - 

gestützt auf den Vertrag zur 
Gründung der Europäischen Wirt- 
schaftsgemeinschaft, insbesondere 
auf die Artikel 100a und 113, 

auf Vorschlag der Kommission 

in Zusammenarbeit mit dem 
Europäischen Parlament, 

nach Stellungnahme des Wirtschafts- 
und Sozialausschusses, 

■yv 

in Erwägung nachstehender Gründe: 


Geänderter Vorschlag für eine Richtlinie 
des Rates zum Schutz natürlicher 
Personen bei der Verarbeitung 
personenbezogener Daten und zum freien 
Datenverkehr 

DER RAT DER EUROPÄISCHEN GEMEINSCHAF- 
TEN - 

gestützt auf den Vertrag zur Gründung 
der Europäischen Wirtschafts- 
gemeinschaft, insbesondere auf die 
Artikel 100a und Artikel 113, 

auf Vorschlag der Kommission (1), 

in Zusammenarbeit mit dem Europäischen 
Parlament (2), / 

nach Stellungnahme des Wirtschafts- und 
Sozialausschusses (3), 

in Erwägung nachstehender Gründe: 


(1) 

ABI. 

Nr. 

C 

277 

vom 

5.11.1990, 

s. 

und 

ABI. 

Nr. 

C 

... 

• 



(2) 

ABI. 

Nr. 

C 

... 

und 

ABI. Nr. C 

. • 

(3) 

ABI, 

Nr. 

C 

159 

vom 

17.6.1991, 

s. 
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(1) Die in dem durch die Einheit- 
liche Europäische Akte geänderten 
Vertrag genannten Ziele der Gemein- 
schaft bestehen darin, einen immer 
engeren Zusammenschluß der 
europäischen Völker zu schaffen^ 
immer engere Beziehungen zwischen 
den in der Gemeinschaft zusammen- 
geschlossenen Staaten herzustellen, 
durch gemeinsames Handeln den 
wirtschaftlichen und sozialen 
Fortschritt zu sichern, indem die 
Europa trennenden Schranken 
beseitigt werden, die ständige 
Besserung der Lebepsbedingungen 
ihrer Völker zu fördern, Frieden 
und Freiheit zu wahren und zu 
festigen und für die Demokratie 
einzutreten, und sich dabei auf die 
in den Verfassungen und Gesetzen 
der Mitgliedstaaten sowie in der 
Europäischen Konvention zum Schutze 
der Menschenrechte und Grundfrei- 
heiten anerkannten Grundrechte zu 
stützen . 


(1) Die in dem durch die Einheitliche 
Europäische Akte geänderten Vertrag 
genannten Ziele der Gemeinschaft 
bestehen darin, einen immer engeren 
Zusammenschluß der europäischen Völker 
zu schaffen, engere Beziehungen zwischen 
den in der Gemeinschaft zusammen- 
geschlossenen Staaten herzustellen, 
durch gemeinsames Handeln den 
wirtschaftlichen und sozialen 
Fortschritt zu sichern, indem die Europa 
trennenden Schranken beseitigt werden, ^ 
die ständige Besserung der Lebens- 
bedingungen ihrer Völker zu fördern, 
Frieden und Freiheit zu wahren und zu 
festigen und für die Demokratie 
einzutreten und .ch dabei auf die in 
den Verfassungen und Gesetzen der 
Mitgliedstaaten sowie in der 
Europäischen Konvention zum Schutze der 
Menschenrechte und Grundfreiheiten 
anerkannten Grundrechte zu stützen. 
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(2) Für die Errichtung und das 
Funktionieren des Binnenmarkts, in 
dem gemäß Artikel 8a des Vertrages 
der freie Verkehr von Waren, 
Personen, Dienstleistungen und 
Kapital gewährleistet ist, ist 
nicht nur erforderlich, daß 
personenbezogene Daten unabhängig 
von den Mitgliedstaaten, in denen 
sie verarbeitet oder in denen sie 
angefordert werden, übermittelt 
werden können, sondern auch, daß in 
Anbetracht der wachsenden 
Inanspruchnahme der Verarbeitung 
personenbezogener Daten in den 
verschiedenen wirtschaftlichen und 
sozialen Tätigkeitsbereichen in der 
Gemeinschaft die Grundrechte 
gewahrt werden. 


(2) Die Datenverarbeitungssysteme stehen 
im Dienste des Menschen; sie haben die 
Grundrechte i » -freiheiten natürlicher 
Personen und insbesondere die Privat- 
sphäre zu achten und zum wirtschaft- 
lichen und sozialen Fortschritt, zur 
Entwicklung des Handels sowie zum 
Wohlergehen der Menschen beizutragen, 

(3) Für die Errichtung und das 
Funktionieren des Binnenmarkts, in dem 
gemäß Artikel 8a des Vertrags der. freie 
Verkehr von Waren, Personen, 
Dienstleistungen und Kapital 
gewährleistet ist, ist nicht nur 
erforderlich, daß personenbezogene Daten 
von einem Mitgliedstaat in einen anderen 
Mitgliedstaat übermittelt werden können, 
sondern auch, daß die Grundrechte der 
Personen gewahrt werden - 


(4) Immer häufiger werden personen- 
bezogene Daten in der Gemeinschaft in 
den verschiedenen Bereichen 
wirtschaftlicher und sozialer 
Tätigkeiten verarbeitet; die Fort- 
schritte der Inforraat ionstechnik . 
erleichtern die Verarbeitung und den 
Austausch dieser Daten beträchtlich. 


47 



Drucksache 12/8329 


Deutscher Bundestag — 12. Wahlperiode 


(3) Der Binnenmarkt umfaßt einen 
Raum ohne Bin! engrenzen; aus diesem 
Grunde sind die nationalen 
Verwaltungen der einzelnen 
Mitgliedstaaten aufgrund der 
Anwendung des Gemeinschaf tsrechts 
immer häufiger aufgerufen, 
zusammenzuarbeiten uncj unter- 
einander personenbezogene Daten 
auszutauschen, um ihren Auftrag 
erfüllen oder Aufgaben für die 
Verwaltung eines anderen Mitglied- 
staats durchführen zu können. 


(5) Die wirtschaftliche und soziale 
Integration, die sich aus der Errichtung 
und dem Funktionieren des Binnenmarktes 
im Sinne von Artikel 8a des Vertrages 
ergibt, wird notwendigerweise zu einer 
spürbaren Zunahme der grenzüber- 
schreitenden Ströme personenbezogener 
Daten zwischen allen am wirtschaftlichen 
und sozialen Leben der Mitgliedstaaten 
Beteiligten im öffentlichen wie im 
privaten Bereich führen; der Austausch 
personenbezogener Daten zwischen in 
verschiedenen Mitgliedstaaten 
niedergelassenen Unternehmen soll sich 
weiter entwickeln; die nationalen 
Verwaltungen der einzelnen 
Mitgliedstaaten sind aufgrund des 
Gemeinschaftsrechts auf gerufen, 
zusammenzuarbeiten und untereinander 
personenbezogene Daten auszutauschen, um 
im Rahmen des Raums ohne Grenzen des 
Binnenmarkts ihren Auftrag erfüllen 
oder Aufgaben für die Verwaltung eines 
anderen Mitgliedstaats durchführen zu 
können . 
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(4) Die verstärkte 
wissenschaftliche 'und technische 
Zusammenarbeit sowie die 
koordinierte Einführung neuer Netze 
im Fernmeldeverkehr in der 
Gemeinschaft machen den 
grenzüberschreitenden Verkehr 
personenbezogener Daten 
erforderlich und erleichtern ihn. 

(5) Das unterschiedliche Niveau des 
Schutzes der Privatsphäre bei der 
Verarbeitung personenbezogener 
Daten in den Mitgliedstaaten kann 
die Übermittlung dieser Daten aus 
dem Gebiet eines Mitgliedstaats 
nach dem eines anderen 
Mitgliedstaats verhindern; mithin 
kann dieses unterschiedliche 
Schutzniveau ein Hemmnis für die 
Ausübung einer Reihe von 
Wirtschaftstätigkeiten auf 
Gemeinschaftsebene darstellen, den 
Wettbewerb verfälschen und den 
Auftrag der sich im 
Anwendungsbereich des 
Gemeinschaftsrechts einschaltenden 
Verwaltungen behindern; dieses 

unterschiedliche Schutzniveau 

\ 

ergibt sich aus den Unterschieden 
..in den einzelstaatlichen Rechts- 
und Verwaltungsvorschriften. 


(6) Die verstärkte wissenschaftliche 
und technische Zusammenarbeit sowie die 
koordinierte Einführung neuer 
Telekommunikationsnetze in der 
Gemeinschaft machen den grenz- 
überschreitenden Verkehr personen-, 
bezogener Daten erforderlich und 
erleichtern ihn. 

(7) Das unterschiedliche Niveau des 
Schutzes der Rechte und Freiheiten von 
Personen, und insbesondere der 
Privatsphäre, bei der Verarbeitung 
personenbezogener Daten in den 
Mitgliedstaaten kann die Übermittlung 
dieser Daten aus dem Gebiet eines 
Mitgliedstaates in das Gebiet eines 
anderen Mitgliedstaates verhindern; 
dieses unterschiedliche Schutzniveau 
kann somit ein Hemmnis für die Ausübung 
einer Reihe von Wirtschaftstätigkeiten 
auf Gemeinschaftsebene darstellen, den 
Wettbewerb verfälschen und die Erfüllung 
des Auftrags der im Anwendungsbereich 
des Gemeinschaftsrechts tätigen 
Verwaltungen behindern; dieses 
unterschiedliche Schutzniveau ergibt 
sich aus der Verschiedenartigkeit der 
einzelstaatlichen Rechts- und 
Verwaltungsvorschrif ten. 
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(6) Für die Beseitigung der 
Hemmnisse für den Verkehr 
personenbezogener Daten ist ein 
gleichwertiges Schutzniveau der 
Privatsphäre bei der Verarbeitung 
dieser Daten in allen 
Mitgliedstaaten unerläßlich; 
dementsprechend sind die 
einschlägigen geltenden 
Rechtsvorschriften anzugleichen. 


(8) Für die Beseitigung der Hemmnisse 
für den Verkehr personenbezogener Daten 
ist ein gleichwertiges Schutzniveau der 
Rechte und Freiheiten von Personen bei 
der Verarbeitung dieser Daten in allen 
Mitgliedstaaten unerläßlich; 
insbesondere unter Berücksichtigung der 
umfassenden Unterschiede, die 
gegenwärtig zwischen den geltenden 
einschlägigen einzelstaatliche*^ 
Rechtsvorschriften bestehen, der 

Notweadigkeit, die Rechtsvorschriften 
der Mitgliedstaaten zu koordinieren, 
damit der grenzüberschreitende Fluß 
personenbezogener Daten kohärent und in 
Übereinstimmung mit dem Ziel des 
Binnenmarktes im Sinne von Artikel 8a 
des Vertrages geregelt wird, läßt sich 
dieses für den Binnenmarkt grundlegende 
Ziel nicht allein durch eine Maßnahme 
der Mitgliedstaaten verwirklichen; 
deshalb ist eine Maßnahme der 
Gemeinschaft zur Angleichung der 
Rechtsvorschriften erforderlich. 
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(7) Gegenstand der 
einzel Staat liehen 
Rechtsvorschriften über die 
Verarbeitung personenbezogener 
Daten ist die Gewährleistung der 
Achtung der Grundrechte 
insbesondere des auch in Artikel 8 
der Konvention zum Schutze der 
Menschenrechte und Grundfreiheiten 
und in den allgemeinen Grundsätzen 
des Gemeinschaftsrecht anerkannten 
Rechts auf die Privatsphäre; 
deshalb darf die Angleichung dieser 
Rechtsvorschriften nicht zu einer 
Verringerung des -durch sie 
garantierten Schutzes führen, 
sondern muß darauf abzielen, in der 
Gemeinschaft ein hohes Schutzniveau 
sicherzustellen. 

(22) Die in dieser Richtlinie 
enthaltenen Grundsätze 
konkretisieren und erweitern die in 
dem Übereinkommen des Europarats 
vom 26. Januar 1981 zum Schutze des 
Menschen bei der automatischen 
Verarbeitung personenbezogener 
Daten enthaltene Grundsätze. 


(9) Gegenstand der einzelstaatlichen 
Rechtsvorschriften über die Verarbeitung 
personenbezogener Daten ist die 
Gewährleistung der Achtung der 
Grundrechte und - f reilieiten, 
insbesondere des auch in Artikel 8 der 
Europäischen Konvention zum Schutze der 
Menschenrechte und Grundfreiheiten und 
in den allgemeinen Grundsätzen des 
Gemeinschaftsrechts anerkannten Rechts 
auf die Pr ivatsphäre ; deshalb darf die 
Angleichung dieser Rechtsvorschriften 
nicht zu einer Verringerung des durch 
sie garantierten Schutzes führen, 
sondern muß darauf abzielen, in der 
Gemeinschaft ein hohes Schutzniveau 
sicherzustel len . 


(10) Die in der Richtlinie enthaltenen 
Grundsätze zum Schutz der Rechte und 
Freiheiten der Menschen, und 
insbesondere der Achtung der 
Privatsphäre, konkretisieren und 
erweitern die in dem Übereinkommen des 
Europarats vom 28. Januar 1931 zum 
Schutze der Menschen bei der 
automatischen Verarbeitung 
personenbezogener Daten enthaltenen 
Grundsätze . 
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(9) Die Grundsätze des Schutzes 
müssen für alle Dateien gelten, 
sobald die Tätigkeiten des 
Verantwortlichen der Datei in den 
Anwendungsbereich des 
Gemeinschaftsrechts fallen; für die 
nicht in den Anwendungsbereich des 
Gemeinschaftsrechts fallenden 
Dateien des öffentlichen Bereichs 
sollten die gleichen Grundsätze des 
Schutzes gelten, die gemäß der 
Entschließung der im Rat 
vereinigten Vertreter der 
Regierungen der Mitgliedstaaten der 
Europäischen Gemeinschaften vom . . . 
in die einzelstaatlichen 
Rechtsvorschriften aufgenommen 
werden sollen; auszunehmen sind 
allerdings Dateien wie persönliche 
Adressendateien, die ausschließlich 
in den Bereich der Ausübung des 
Rechtes auf die Privatsphäre einer 
natürlichen Person fallen. 

(10) Jede Verarbeitung 
personenbezogener Daten in der 
Gemeinschaft muß die 
Rechtsvorschriften des 
Mitgliedstaates achten, in dem sich 
die Datei befindet, um zu 
vermeiden, daß eine Person den 
Schutz, der ihr gemäß dieser 
.Richtlinie gewährt werden muß, 
nicht erhält; in diesem Zusammenhag 
ist jeder Teil einer in mehreren 
Mitgliedstaaten befindlichen Datei 
als eine Datei anzusehen, und die 
Verbringung in ein Drittland darf 
diesen Schutz nicht verhindern. 


(11) Die Schutzprinzipien müssen für 
alle Verarbeitungen personenbezogener 
Daten gelten, sobald die Tätigkeiten des 
Verantwortlichen der Verarbeitung in den 
Anwendungsbereich des 
Gemeinschaftsrechts fallen; für die 
nicht in den Anwendungsbereich des - 
Gerne inschaftsrechts fallenden 
Tätigkeiten durch die Behörden, 
Organisationen und Stellen eines' 
Mitgliedstaats sollten die gleichen 
Schutzprinzipien gelten, wie sie die 
Entschließung der im Rat vereinigten 
Vertreter der Regierungen der 
Mitgliedstaaten der Europäischen 
Gemeinschaften vom . . . vorsieht; 
auszunehmen sind Verarbeitungen durch 
eine natürliche Person zu ausschließlich 
privaten Zwecken wie Verarbeitungen, die 
die Korrespondenz oder die Führung von 
Adressenverzeichnissen betreffen. 


(12) Um zu vermeiden, daß eine Person 
den gemäß dieser Richtlinie 
gewährleisteten Schutz nicht erhält, muß 
jede in der Gemeinschaft erfolgte 
Verarbeitung personenbezogener Daten die 
Rechtsvorschriften eines Mitgliedstaates 
einhalten; es ist angebracht, die 
Verarbeitungen aller in einem , 

Mitgliedstaat ansässiger Personen der 
Anwendung der Rechtsvorschriften dieses 
Staates zu unterwerfen; die 
Niederlassung des Verantwortlichen der 
Verarbeitung in einem Drittland 
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(12) Die einzelstaatlichen 
Rechtsvorschriften können unter den 
in der Richtlinie vorgesehenen 
Bedingungen die Regeln für die 
Rechtsmäßigkeit der Verarbeitung 
festlegen; eine solche Möglichkeit 
darf allerdings nicht als 
Begründung für eine Kontrolle eines 
anderen .Mitgliedstaats als des 
Staats dienen, in dem die Datei 
sich befindet^ da letzterer 
verpflichtet ist, gemäß dieser 
Richtlinie zu gewährleisten, daß 
die Privatsphäre bei der 
Verarbeitung personenbezogener 
Daten im Hinblick auf das 
Gemeinschaftsrecht ausreichend 
geschützt wird, um den freien 
Verkehr der Daten zu ermöglichen. 


darf kein Hemmnis für den Schutz der 
Personen gemäß dieser Richtlinie 
darstellen; in diesem Fall sind die 
Verarbeitungen dem Gesetz des 
Mitgliedstaats zu unterwerfen, in dem 
sich die für die betreffenden 
Verarbeitungen verwendeten Mittel 
befinden, und Sicherheitsvorkehrungen zu 
treffen, damit die in dieser Richtlinie 
vorgesehenen Rechte und Pflichten 
tatsächlich geachtet und erfüllt werden. 

(13) Die Mitgliedstaaten können in ihren 
Rechtsvorschriften oder bei der^ 

Umsetzung der Bestimmungen zur 
Durchführung dieser Richtlinie die 
allgemeinen Bedingungen präzisieren, 
unter denen die Verarbeitungen 
rechtmäßig sind; derartige 
Präzisierungen dürfen allerdings nicht 
als Grundlage für die Kontrolle eines 
anderen als des Mitgliedstaats dienen, 
in dem der Verantwortliche der 
Verarbeitung ansässig ist, da dieser 
letztgenannte Mitgliedstaat aufgrund 
dieser Richtlinie verpflichtet ist, 
einen im Hinblick auf das 
Gemeinschaftsrecht ausreichenden Schutz 
der Rechte' und Freiheiten bei der 
Verarbeitung personenbezogener Daten zu 
gewährleisten, um den freien Verkehr der 
Daten zu ermöglichen. 
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(14) Die Schutzprinzipien finden zum 
einen Ausdruck in den Pflichten, die den 
Personen, Behörden, Unternehmen oder 
Stellen obliegen, die Verarbeitungen 
vornehmen; diese Pflichten betreffen 
insbesondere die Datenqualität, die 
technische Sicherheit, die Meldung böi 
der Kontrollbehörde, die Grundlagen der 
Verarbeitung, wobei eine Grundlage die 
Einwilligung der betroffenen Person sein 
kann; zum anderen finden sie Ausdruck in 
dem Recht der Personen, deren Daten 
Gegenstand von Verarbeitungen sind, über 
diese informiert zu werden, Zugang zu 
den Daten zu erhalten, ihre Berichtigung 
verlangen bzw. Widerspruch gegen die 
Verarbeitung einlegen zu können. 

( 15 ) Jede . Verarbeitung personenbezogener 
Daten hat den betroffenen Personen 
gegenüber nach Treu und Glauben sowie 
auf rechtmäßige Art und Weise zu 
erfolgen; sie muß insbesondere für die 
verfolgte Zweckbestimmung relevante und 
nicht darüber hinausgehende Daten 
betreffen; diese Zweckbestimmungen haben 
ausdrücklich und rechtmäßig ‘zu sein. 


54 



Deutscher Bundestag — 12. Wahlperiode 


Drucksache 12/8329 


(11) Jede Verarbeitung 
personenbezogener Daten muß 
rechtmäßig sein; diese 
Rechtsmäßigkeit muß sich auf das 
Einverständnis der betroffenen 
Person, das Gemeinschaftsrecht oder 
auf die einzelstaatlichen 
Rechtsvorschriften stützen. 


(16) Die Verarbeitung personenbezogener 
Daten ist nur dann rechtmäßig, wenn sie 
sich stützt auf die Einwilligung der 
betroffenen Person, den Abschluß oder 
die Erfüllung eines Vertrags mit der 
betroffenen Person, das 
Gemeinschaftsrecht oder auch auf 
einzelstaatliches Recht, das allgemeine 
oder ein besonderes Interesse, sofern 
die betroffene Person keine berechtigten 
Gründe hat, Widerspruch gegen die 
Verarbeitung einzu legen; insbesondere, 
um die Ausgewogenheit der in Frage 
stehenden Interessen bei vollständiger 
Gewährleistung eines effektiven 
Wettbewerbs sicher zu stellen, können 
die Mitgliedstaaten die Bedingungen 
näher bestimmen, unter denen eine 
Weitergabe personenbezogener Daten an 
Dritte zum Zwecke geschäftsmäßiger 
Werbung oder Werbung erfolgen kann, die 
von einem Wohltätigkeitsverband oder 
anderen Vereinigungen oder Stiftungen, 
insbesondere mit politischer 
Ausrichtung, unter Berücksichtigung der 
Bestimmungen dieser Richtlinie, rfach 
denen es betroffenen Personen gestattet 
ist, ohne Angabe von Gründen und ohne 
Kosten Widerspruch gegen die Weitergabe 
von Daten, die sie betreffen, zu 
erheben. 
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(16) Um Gegenstand einer 
Verarbeitung zu sein, müssen die 
Daten bestimmten Anforderungen 
genügen; die Verarbeitung der 
Daten, die aufgrund ihrer Art 
geeignet sind, das Recht auf den 
Schutz der Privatsphäre zu 
beeinträchtigen, ist ohne 
ausdrückliche Einwilligung der 
betroffenen Person zu untersagen; 
aus Gründen wichtigen öffentlichen 
Interesses können allerdings 
insbesondere für die medizinischen 
Berufe Ausnahmeregelungen auf der 
Grundlage einer Rechtsvorschrift 
vorgesehen werden, die die 
Bedingungen und Beschränkungen der 
Verarbeitung dieser Art von Daten 
genau und strikt festlegt. 


(18) .Im Medienbereich können die 
Mitgliedstaaten Ausnahmen von den 
Bestimmungen dieser Richtlinie 
vorsehen, sofern diese darauf 
abzielen, das Recht auf die 
Privatsphäre mit dem Recht auf 
Information und dem Recht, 
Informationen zu empfangen oder zu 
übermitteln, zu vereinbaren, das 
insbesondere in Artikel 10 der 
Konvention zum Schutze der 
Menschenrechte und Grundfreiheiten 
garantiert ist. 


(17) Außerdem sollten Daten die aufgrund 
ihrer Art geeignet sind, die Grundrechte 
oder die Privatsphäre zu 
beeinträchtigen, nicht ohne schriftliche 
Einwilligung der betroffenen Person 
Gegenstand einer Verarbeitung sein; die 
Verarbeitung dieser Daten ist jedoch zu 
genehmigen, wenn sie durch eine 
Vereinigung vorgenommen wird, die das 
Ziel verfolgt, der Ausübung dieser 
Freiheiten zu dienen; ferner können aus 
Gründen wichtigen öffentlichen 
Interesses, insbesondere für die 
medizinischen Berufe, 

Ausnahmebestimmungen auf der Grundlage 
einer Rechtsvorschrift oder einer 
Genehmigung der Kontrollbehörde 
vorgesehen werden, die den Rahmen und 
die entsprechenden Sicherheiten für die 
Verarbeitung dieser Datenarten 
festlegen. 

(18) Für die Verarbeitung 
personenbezogener Daten zu 
journalistischen Zwecken sind 
Ausnahmebestimmungen von den 
Bestimmungen dieser Richtlinie 
vorzusehen, die erforderlich sind, um 
die Grundrechte der Person mit der 
Meinungsäußerungsfreiheit und 
insbesondere der Freiheit in Einklang zu 
bringen, Informationen zu erhalten oder 
weiterzugeben, die unter anderem in 
Artikel 10 der Europäischen Konvention 
zum Schutze der Menschenrechte und der 
Grundfreiheiten garantiert ist. 
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(14) Die betroffene Person muß 
vollständig informiert werden, 
damit ihre Einwilligung wirksam 
ist; dies gilt auch, wenn die sie 
betreffenden Daten bei ihr erhoben 
werden. 


(15) Die betroffene Person muß das 
Recht auf Auskunft über die sie 
betreffenden Daten haben, um sich 
der Rechtmäßigkeit der Verarbeitung 
der Daten und ihrer Qualität 
vergewissern zu können. 


(17) Für den Schutz der 
Pr ivatsphäre im Hinblick auf 
personenbezogene Daten müssen 
sowohl auf der Planungs- als auch 
auf der technischen Ebene der 
Verarbeitung geeignete 
Sicherheitsmaßnahmen getroffen 
werden, um jede nicht genehmigte 
Verarbeitung zu verhindern. 


(19) Die rechtmäßige Datenverarbeitung 
setzt voraus, daß die betroffenen 
Personen das Vorhandensein der 
Verarbeitungen erfahren und eine 
tatsächliche, vollständige Information 
erhalten können, wenn Daten bei ihnen 
erhoben werden, sowie spätestens bei der 
ersten Übermittlung sie betreffender 
Daten an einen Dritten, wenn die 
Unterrichtung bei der Datenerhebung 
nicht erfolgt ist. 

(20) Jede Person muß ein Auskunftsrecht 
über die sie betreffenden Daten haben, 
die^ Gegenstand einer Verarbeitung sind, 
um sich ihrer Richtigkeit und der 
Zulässigkeit ihrer Verarbeitung zu 
vergewissern; infolgedessen muß jeder 
Person ein Widerspruchsrecht aus 
berechtigten Gründen gegen die 
Verarbeitung der Daten zustehen. 

(21) Für den Schutz der Rechte und 
Freiheiten der betroffenen Personen bei 
der Verarbeitung personenbezogener ♦ 
Daten müssen 'geeignete technische 
Maßnahmen im Zeitpunkt der Planung der 
Techniken und der Durchführung der 
Verarbeitung getroffen werden, um 
insbesondere deren Sicherheit zu 
gewährleisten . und somit jede nicht 
genehmigte Verarbeitung zu verhindern. 
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(13) Die Meldeverfahren für die 
Dateien des öffentlichen oder 
privaten^ Bereilii^ und die 
BenachTi-clitligungsver fahren bei der 
ersten Übermittlung für die Dateien 
des privaten Bereichs sollen die 
Transparenz gewährleisten, die für 
die Ausübung des Rechts auf Zugang 
der betroffenen Person zu den sie 
betreffenden Daten unerläßlich ist. 


(22) Die Meldeverfahren sollen die 
Publizität der Zweckbestimmungen der 
Verarbeitungen sowie ihrer wichtigsten 
Merkmale im Hinblick auf ihre Kontrolle 
gemäß den einzelstaatlichen Vorschriften 
zur Durchführung dieser Richtlinien 
gewährleisten; zur .Vermeidung 
unangemessener Verwaltungsformalitäten 
sind von den Mitgliedstaaten Befreiungen 
oder Vereinfachungen der Meldepflicht 
für die Verarbeitungen vorzusehen, die 
die Rechte und Freiheiten der 
betroffenen Personen nicht 
beeinträchtigen, sofern diese 
Verarbeitungen einer Verfügung des 
Mitgliedstaats entsprechen, der ihre 
Grenzen festsetzt. 

(23) Die nachträgliche Kontrolle durch 
die zuständigen Behörden ist im 
allgemeinen als ausreichende Maßnahme 
anzusehen; die Mitgliedstaaten haben 
allerdings eine Prüfung durch die 
Kontrollbehörde vor der Durchführung von 
Verarbeitungen vorzusehen, die aufgrund 
ihrer Art, ihrer Tragweite oder ihrer 
Zweckbestimmung besondere Risiken im 
Hinblick auf die Rechte und Freiheiten 
der betroffenen Personen aufweisen, wie 
solche, die zum Ziel haben, betroffene 
Personen von dem Nutzen eines Rechts, 
einer Leistung oder eines Vertrages 
auszuschließen; die Mitgliedstaaten 
können diese vorherige Prüfung durch 
eine gesetzgeberische Maßnahme oder eine 
Entscheidung der Kontrollbehörde 
ersetzen, die die Verarbeitung genehmigt 
und die geeigneten 

Sicherheitsvorkehrungen festsetzt . 
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(20) Bei Nichteinhaltung der in 
dieser Richtlinie vorgesehenen 
Vorschriften ist der 
Verantwortliche der Datei bei einer 
Schadensersatzklage als 
Verantwortlicher anzusehen; zur 
Abschreckung sind Sanktionen 
anzuwenden, um einen wirksamen 
Schutz zu gewährleisten. 


(21) Personenbezogene Daten müssen 
in ein Drittland mit einem 
angemessenen Schutzniveau 
übermitelt werden können; fehlt ein 
solcher Schutz in Drittländern, so 
sieht diese Richtlinie insbesondere 
Verhandlungsverfahren mit letzteren 
vor. 


(24) Bei Mißachtung der Rechte der 
betroffenen Personen durch den 
Verantwortlichen der Verarbeitung ist 
ein gerichtlicher Rechtsbehelf von den 
nationalen Rechtsvorschriften 
vorzusehen; mögliche Schäden, die 
Personen aufgrund einer unzulässigen 
Verarbeitung erleiden, hat der 
Verantwortliche der Verarbeitung 
auszugleichen; von seiner Haftung kann 
er nur befreit werden, wenn er 
nachweist, daß er die geeigneten 
Sicherheitsmaßnahmen getroffen hat; 
unabhängig davon, ob es sich um eine 
juristische Person des Privat- oder des 
öffentlichen Rechts handelt, müssen 
ausreichende Sanktionen jede Person 
treffen, die die einzelstaatlichen 
Bestimmungen zur Durchführung dieser 
Richtlinie nicht einhält. 

(25) 

Grenzüberschreitende Bewegungen 
personenbezogener Daten sind für die 
Entwicklung des internationalen Handels 
erforderlich; der in der Gemeinschaft 
durch die Richtlinie gewährte Schutz von 
Personen hindert nicht den Transfer 
personenbezogener Daten in Drittländer, 
die ein angemessenes Schutzniveau 
aufweisen; die Angemessenheit des 
Schutzniveaus, das ein Drittland bietet, 
ist unter Berücksichtigung aller 
Umstände im Hinblick. auf einen Transfer 
oder eine Kategorie von Transfers zu 
beurteilen . 
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(26) Bietet hingegen ein Drittland kein 
angemessenes Schutzniveau, so ist der 
Transfer personenbezogener Daten in 
dieses Land zu untersagen; Ausnahmen von 
diesem Verbot sind unter bestimmten 
Voraussetzungen vorzusehen, wenn die 
betroffene Person ihre Einwilligung * 
gegeben hat oder unterrichtet wurde oder 
wenn die Wahrung des öffentlichen 
Interesses den Transfer erforderlich 
macht; besondere Maßnahmen können 
getroffen werden, um das unzureichende 
Schutzniveau in einem Drittland auszu- 
gleichen, wenn der Verantwortliche der 
Verarbeitung geeignete Sicherheiten 
nachweist; außerdem sind Verhandlungs- 
verfahren zwischen der Gemeinschaft und 
den betreffenden Drittländern vorzu- 
sehen. 

(27) Die Mitgliedstaaten können auch den 
Rückgriff auf von den 
Interessenverbänden ausgearbeitete 
nationale Verhaltensregeln vorsehen, die 
der Kontrollbehörde zur Stellungnahme 
vorgelegt wurden, um die einzel- 
staatlichen Bestimmungen zur Durch- 
führung dieser Richtlinie an die 

• Besonderheiten der Verarbeituiigcn in 
bestimmten Bereichen anzupassen. 
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(19) Die Mitgliedstaaten haben die 
Ausarbeitung von Standesordnungen 
oder europäischen freiwilligen 
Verhaltensregeln für bestimmte 
Einzelbereiche durch die 
Berufskreise zu fördern; die 
Kommission wird derartige 
Initiativen unterstützen und 
berücksichtigen/ wenn sie prüft, ob 
für bestimmte Bereiche neue 
spezifische Maßnahmen erforderlich 
sind, 

(23) Die Existenz einer 
unabhängigen Kontrollstelle in 
jedem Mitgliedstaat ist ein 
wesentliches Element des Schutzes 
der Personen bei der Verarbeitung 
personenbezogener Daten; auf 
Gemeinschaftsebene muß eine aus 
Vertretern der einzelstaatlichen 
Kontrollbehörden zusammengesetzte 
Gruppe ..ingesetzt werden und ihre 
Aufgaben in vüi....ger Unabhängigkeit 
wahrnehmen; in A.-^hetracht dieses 
besonderen Charakters hat sie die 
Kommission zu beraten und zu der 
einheitlichen Anwendung der zur 
Durchführung dieser Richtlinie 
erlassenen einzelstaatlichen 
Bestimmungen beizutragen. 


(28) Die Mitgliedstaaten haben die 
Interessenverbände zu ermutigen, 
gemeinschaftliche Verhaltensregeln 
auszuarbeiten, um die Durchführung 
dieser Richtlinie zu fördern; die 
Kommission wird derartige Initiativen 
unterstützen und berücksichtigen, wenn 
sie die Zweckmäßigtee it zusätzlicher 
spezifischer Maßnahmen für bestimmte 
Bereiche prüft. 


(29) Die Einrichtung einer unabhängigen 
Kontrollbehörde in jedem Mitgliedstaat 
ist ein wesentliches Element des 
Schutzes der Personen bei der 
Verarbeitung personenbezogener Daten; 
diese Behörde ist mit den notwendigen 
Mitteln für die Erfüllung dieser Aufgabe 
auszustatten, ob es sich um 
Untersuchungsbefugnisse, 
Eingriffsmöglichkeiten oder Befugnisse 
handelt, die ihr im Rahmen des 
Meldeverfahrens übertragen werden; sie 
hat zur Transparenz der Verarbeitungen 
in dem Mitgliedstaat beizutragen, in 
dessen Zuständigkeit sie liegt; die 
Behörden der verschiedenen 
Mitgliedstaaten sind berufen, sich 
gegenseitig bei der . Wahrnehmung ihrer 
Aufgaben zu unterstützen. 
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(24) Die Verabschiedung der 
ergänzenden Maßnahmen für die 
Anwendung der Grundsätze dieser 
Richtlinie macht es notwendig, der 
Kommission Befugnisse zu ihrer 
Durchführung zu übertragen und 
gemäß den in Beschluß 87/373/EWG 
des Rates festgelegten 
Modalitäten einen Beratenden 
Ausschuß eirizusetzen - 


(30) Auf Gemeinschaftsebene ist eine 
Gruppe für den Schutz der Rechte von 
Personen bei der Verarbeitung personen- 
bezogener Daten einzusetzen, die ihre 
Aufgaben in völliger Unabhängigkeit 
wahrzunehmen hat; in Anbetracht dieses 
besonderen Charakters hat sie die 
Kommission zu beraten und insbesondere 
zu der einheitlichen Anwendung der zur 
Durchführung dieser Richtlinie erlasse- 
nen einzelstaatlichen Bestimmungen 
beizutragen. 

(31) Die Verabschiedung ergänzender 
Maßnahmen für die Anwendung der 
Grundsätze dieser Richtlinie macht es 
notwendig, der Kommission Rechtsetzungs- 
befugnisse zu übertragen und gemäß den 
im Beschluß des Rates 87/373/EWG des 
Rates festgelegten Modalitäten einen 
beratenden Ausschuß einzusetzen. 


(1) ABI. Nr. L 197 vom 13.3.1937, (1) ABI. Nr. L 197 vom 18.7.1937" 


S. 33. 


S. 33. 
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(8) Die Grundsätze des Schutzes der 
Privatsphäre bei der Verarbeitung 
personenbezogener Daten, die 
Gegenstand der Richtlinie sind, 
können - insbesondere für bestimmte 
Bereiche - durch mit diesen 
Grundsätzen im Einklang stehenden 
besonderen Regeln ergänzt oder 
präzisiert werden. 


HAT FOLGENDE RICHTLINIE ERLASSEN: 


(32) Die Grundsätze des Schutzes deV 
Rechte und Freiheiten der Personen und 
insbesondere der Achtung der 

m 

Privatsphäre bei der Verarbeitung 
personenbezogener Daten, die Gegenstand 
dieser Richtlinie sind, können 
- insbesondere für bestimmte Bereiche - 
durch mit diesen Grundsätzen im Einklang 
stehende spezifische Regeln ergänzt oder 
präzisiert werden. 

(33) Es ist angebracht, den 
Mitgliedstaaten eine Frist von längstens 
drei Jahren ab Inkrafttreten der 
einzelstaatlichen Maßnahmen zur 
Umsetzung dieser Richtlinie einzuräumen, 
um ihnen zu ermöglichen, die 
obengenannten neuen einzelstaatlichen 
Bestimmungen fortschreitend auf alle 
bereits erfolgten Verarbeitungen 
anzuwenden. 

(34) Diese Richtlinie steht hicht im 
Widerspruch zu den gesetzlichen 
Regelungen eines Mitgliedstaates im 
Bereich der geschäftsmäßigen Werbung 
gegenüber auf seinem Hoheitsgebiet 
ansäßigen Verbrauchern insoweit, als 
sich diese gesetzlichen Regelungen nicht 
auf den Schutz der Person im Hinblick 
auf die Verarbeitung personenbezogener 
Daten beziehen - 

HAT FOLGENDE RICHTLINIE ERLASSEN; 
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KAPITEL I 

ALLGEMEINE BESTIMMUNGEN 

Artikel 1 

Gegenstand der Richtlinie 

1. Die Mitgliedstaaten 
gewährleisten nach den Bestimmungen 
dieser Richtlinie den Schutz der 
Privatsphäre von Personen bei der 
Verarbeitung personenbezogener 
Daten, die in Dateien enhalten 
sind; 

2. Die Mitgliedstaaten beschränken 
oder untersagen nicht den freien 
Verkehr personenbezogener Daten 
zwischen Mitgliedstaaten aus 
Gründen des gemäß Absatz 1 
gewährleisteten Schutzes. 

Artikel 2 

Begriffsbestimmungen 

Für die •Zwecke dieser Richtlinie 
bedeuten: 


KAPITEL I 

ALLGEMEINE BESTIMMUNGEN 

Artikel 1 

Gegenstand der Richtlinie 

1. Die Mitgliedstaaten gewährleisten 
nach den Bestimmungen dieser Richtlinie 
den Schutz der Rechte und Freiheiten un<^ 
insbesondere den Schutz der Privatsphäre 
natürlicher Personen bei der 
Verarbeitung personenbezogener Daten*. 

2* Die Mitgliedstaaten beschränken oder 
untersagen nicht den freien Verkehr 
personenbezogener Daten zwischen 
Mitgliedstaaten aus Gründen des gemäß 
Absatz 1 gewährleisteten Schutzes. 

Artikel 2 

Begriffsbestimmungen 

Für die Zwecke dieser Richtlinie 
bedeuten: 
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a) "personenbezogene Daten": alle a) "personenbezogene Daten": alle 

Informationen über eine bestimmte Informationen über eine bestimmte oder 

oder bestimmbare natürliche Person bestimmbare natürliche Person 

("betroffene Person"); als ( "betro’f fene Person”); als bestimmbar 

bestimmbar wird insbesondere eine wird eine Person angesehen^ die direkt 

Person angesehen, die durch die oder indirekt, insbesondere durch 

Zuordnung zu einer Kennummer oder Zuordnung zu einer Kennnummer oder- zu 

einer vergleichbaren Information einem oder mehreren spezifischen 

identifiziert werden kann; Elementen identifiziert werden kann, die 

Ausdruck ihrer physischen, physiologi- 
schen, psychischen, wirtschaftlichen, 
kulturellen oder sozialen Identität 
sind . 

Nicht als personenbezogen werden Daten 
betrachtet, die als Statistik dergestalt 
erfaßt sind, daß die betroffenen 
Personen vernünftigerweise nicht 
bestimmbar sind. 

b) "anonymisieren": das Verändern 
personenbezogener Daten derart, daß 
die darin enthaltenen Angaben nicht 
mehr oder nur mit einem 
unverhältnismäßig großen Aufwand an 
Arbeitskraft, Kosten und Zeit einer 
bestimmten oder bestimmbaren 
natürlichen Person zugeordnet 
werden können; 
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d) "Verarbeitung": die mit oder 
ohne Hilfe automatisierter 
Verfahren vorgenommenen Vorgänge: 
Speichern, Aufbewahrung, 
Verknüpfung von Daten, ihre 
Veränderung, Benutzung und 
Weitergabe, insbesondere die 
Übermittlung, Verbreitung, 
Erstellung von Auszügen sowie das 
Sperren und Löschen; 


c) "Datei mit personenbezogenen 
Daten" (Datei): jede Sammlung 
personenbezogener Daten, die 
Zentral oder an mehreren Standorten 
geführt wird, Gegenstand einer 
automatisierten Verarbeitung ist 
oder, fall” sie mittels nicht- 
automatisierter Verfahren 
verarbeitet werden, geordnet und in 
einer Sammlung zugänglich ist, die 
nach bestimmten Kriterien 
organisiert ist, die die Benutzung 
oder Verknüpfung der Daten 
erleichtern; 


b) "Verarbeitung personenbezogener 
Daten" (Verarbeitung) : jeder mit oder 
ohne Hilfe automatisierter Verfahren 
vorgenommene Vorgang oder jede 
Vorgangsreihe im Zusammenhang mit 
personenbezogenen Daten wie das Erheben, 
das Speichern, die Organisation, die 
Aufbewahrung, die Ausarbeitung oder 
Veränderung, die Erstellung von 
Auszügen, das Abfragen, die Benutzung, 
die Weitergabe durch Übermittlung, die 
Verbreitung oder jede andere Form der 
Bereitstellung, die Kombination oder di 
Verknüpfung sowie das Sperren, Löschen 
oder Vernichten; 

c) "Datei mit personenbezogenen Daten" 
(Datei): jede strukturierte Sammlung 
personenbezogener Daten, die zentral 
oder an mehreren Standorten geführt wird 
und nach bestimmten Kriterien zugänglich 
ist, deren Ziel. darin besteht oder die 
dazu führt, die Benutzung oder die 
Kombination von Daten über die 
betreff ende (n) Person (en) zu 
erleichtern; 
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e) "Verantwortlicher der Datei": 
die natürliche oder juristische 
Person, Behörde, Dienststelle oder 
jede andere Einrichtung, die nach 
dem Gemeinschaftsrecht oder den 
einzelstaatlichen 
Rechtsvorschriften eines 
Mitgliedstaats zuständig ist, 
darüber zu entscheiden, welche 
Zweckbestimmung die Datei verfolgt, 
welche Arten personenbezogener 
Daten gespeichtert und mit welchen 
Vorgängen sie verarbeitet werden 
sollen sowie welche Dritte Zugang 
zu den Dateien haben dürfen; 


d) "Verantwortlicher der Verarbeitung": 
die natürliche oder juristische Person, 
Behörde, Dienststelle oder jede andere 
Einrichtung, die personenbezogene Daten 
verarbeitet oder verarbeiten läßt und 
über Zweck und Ziel der Verarbeitung, 
die verarbeiteten personenbezogenen 
Daten und die Verarbeitungsverfahren, 
die auf sie angewandt werden, sowie 
darüber entscheidet, welche . Dritte 
Kenntnis von den genannten Daten haben 
dürfen; 


e) "mit der Verarbeitung beauftragte 
Person": die natürliche oder juristische 
Person, die personenbezogene Daten im 
Auftrag des Verantwortlichen der 
Verarbeitung verarbeitet; 

f) "Dritte": die natürlichen oder 
juristischen Personen außer der 
betroffenen Person, dem Verantwortlichen 
für die Verarbeitung und den Personen, 
die ermächtigt sind, die Daten unter 
seiner unmittelbaren Verantwortung oder 
in seinem Auftrag zu verarbeiten; 


67 



Drucksache 1 2/8329 


Deutscher Bundestag — 12. Wahlperiode 


Artikel 12 

Einwilligung nach Unterrichtung der 
betroffenen Person 

Die Einwilligung einer betroffenen 
Person zu einer Verarbeitung sie 
betreffender personenbezogener 
Daten im Sinne dieser Richtlinie 
ist nur wirksam, wenn: 

a) die Person über die 
nachstehenden Informationen 
verfügt : 

- Zweckbestimmung der Datei und Art 
der gespeicherten Daten; 

- Art der Verwendung und 
gegebenenfalls Empfänger der in 
der Datei gespeicherten 
personenbezogenen Daten; 

- Name und Anschrift des 
Verantwortlichen der Datei 

b) Die Einwilligung muß konkret 
sein und ausdrücklich erklärt 
werden; sie hat die Art der Daten, 
die Form der Verarbeitung und die 
möglichen Empfänger, auf die sie 
sich erstreckt, genau zu bestimmen. 


g) "Einwilligung der betroffenen 
Person”; jede ausdrückliche 
Willensbekundung, mit der die betroffene 
Person akzeptiert, daß sie betreffende 
personenbezogene Daten verarbeitet 
werden, sofern sie über Informationen 
über die Zweckbestimmung der 
Verarbeitung, die betreffenden Daten 
oder Datenkategorien, die Empfänger der 
personenbezogenen Daten sowie Namen und 
Anschrift des Verantwortlichen der 
Verarbeitung und gegebenenfalls seines 
Vertreters verfügt. 


Die Einwilligung gilt für den konkreten 
Fall; sie erfolgt ohne Zwang und kann 
von der betroffenen Person jederzeit 
widerrufen werden. Der Widerruf hat 
keine Rückwirkung - 
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c) Sie kann von der betroffenen 
Person jederzeit widerrufen werden. 
Der widerruf hat keine Rückwirkung. 

f) "Kontrollbehörde: die unabhängi- 
ge Behörde oder jede andere 
unabhängige Instanz, die von jedem 
Mitgliedstaat gemäß Artikel 26 
dieser Richtlinie bestimmt wird; 

g) "öffentlicher Bereich": die 
Gesamtheit der öf fenlichrechtlichen 
Verwaltungen, Organisationen und 
Einrichtungen eines Mitgliedstaats, 
mit Ausnahme derer, die an einer 
gewerblichen oder kommerziellen 
Tätigkeit teilnehmen, sowie die 
privatrechtlichen Einrichtungen und 
Rechtssubjekte, wenn sie an der 
Ausübung der Staatsgewalt beteiligt 
sind; 

h) "privater Bereich": jede 
natürliche oder juristische Person 
oder Vereinigung, sowie die 
Behörden, Organisationen und 
Rechtssubjekte des öffentlichen 
Bereichs, sowie diese eine 
gewerbliche oder kommerzielle 
Tätigkeit ausüben. 
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Artikel 3 
Anwendungsbereich 

1. Die Bestimmungen dieser 
Richtlinie gelten für Dateien des 
privaten und des öffentlichen 
Bereichs mit Ausnahme der Dateien 
des öffentlichen Bereichs, wenn 
dessen Tätigkeiten nicht in den 
Anwendungsbereich des 
Gemeinschaftsrechts fallen. 

2. Die Bestimmungen dieser 
Richtlinie finden keine Anwendung 
auf Dateien: 

a) einer natürlichen Person, die 
ausschließlich privaten und 
persönlichen Zwecken dienen oder 

b) von gemeinnützigen, insbesondere 
politischen, philosophischen, 
religiösen, kulturellen, 
gewerkschaftlichen, Sport- oder 
Freizeitvereinigungen im Rahmen 
ihres zulässigen Zwecks und 
unter der Voraussetzung,^ daß sie 
sich nur auf die Mitglieder und 
Korrespondenzpartner der 
Vereinigung beziehen, die ihre 
Einwilligung zur Aufnahme in die 
Datei erteilt haben, und sofern 
sie nicht an Dritte 
weitergegeben werden. 


Artikel 3 
Anwendungsbereich 

1. Die Mitgliedstaaten wenden die 
Bestimmungen dieser Richtlinie auf die 
ganz oder teilweise automatisierte 
Verarbeitung personenbezogener Daten 
sowie auf die nichtautomatisierte 
Verarbeitung personenbezogener Daten an, 
die in Dateien gespeichert sind öder 
gespeichert werden sollen. 

2. Die Bestimmungen dieser Rieht lin:.e 
finden keine Anwendung auf : 

Verarbeitungen für die Ausübung von 
Tätigkeiten, die nicht in den 
Anwendungsbereich des 
Gemeinschaftsrechts fallen; 
Verarbeitungen personenbezogener 
Daten durch eine natürliche Person 
für die Ausübung ausschließlich 
privater und persönlicher 
Tätigkeiten. 
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Artikel 4 

Anwendbares Recht 

1. Jeder Mitgliedstaat wendet die 
Bestimmungen dieser Richtlinie an 
auf : 


a) alle in seinem Hoheitsgebiet 
befindlichen Dateien; 

b) den Verantwortlichen der Datei, 
der in .seinem Hoheitsgebiet 
ansässig ist, und der von diesem 
aus eine in einem Drittland 
angesiedelte/befindliche Datei 
benutzt, dessen Rechtsvorschriften 
kein angemessenes Schutzniveau 
garantieren, sofern diese Benutzung 
nicht nur vereinzelt erfolgt. 


Artikel 4 

Anwendbares einzelstaatliches Recht 

1. Jeder Mitgliedstaat wendet. die zur 
Durchführung dieser Richtlinie 
erlassenen Bestimmungen auf alle 
Verarbeitungen personenbezogener Daten 
an: 


a) deren Verantwortlicher in seinem 
Hoheitsgebiet ansässig ist oder unter 
seine Staatsgewalt fällt; 
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b) deren Verantwortlicher nicht im 
Hoheitsgebiet der Gemeinschaft ansässig 
ist, wenn dieser Verantwortliche für die 
Verarbeitung personenbezogener Daten 
automatisierte oder nichtautomat isierte 
Mittel im Hoheitsgebiet dieses 
Mitgliedstaats verwendet . 

2. In dem in Absatz 1 Buchstabe b 
genannten Fall hat der Verantwortliche 
der Verarbeitung einen im Hoheitsge : Let 
des genannten Mitgliedstaats ansässigen 
Vertreter zu benennen, der in die Rechte 
und Pflichten des Verantwortlichen 
eintritt . 


3. Wird eine Datei vorübergehend 
von einem Mitgliedstaat in einen 
anderen Mitgliedstaat verbracht, so 
wird dies von diesem >litgliedstaat 
weder behindert noch wird 
irgendeine zusätzliche Förmlichkeit 
verlangt, die über die Regelungen 
in dem Mitgliedstaat hinausgeht, in 
dem die Datei sich ständig 
bef indet . 


2. Jeder Mitgliedstaat wendet die 
Bestimmungen der Artikel 5, 6, 8? 

9, 10, 17, 18 und 21 auf den 
Benutzer an, der von einem im 
Hoheitsgebiet eines Mitgliedstaats 
befindlichen Datenendgerät aus eine 
außerhalb der Gemeinschaft 
befindliche Datei abfragt, sofern 
es sich dabei nicht um eine 
vereinzelte Abfrabe handelt. 
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KAPITEL V 

QUALITÄT DER DATEN 

Artikel 6 

Grundsätze 

!• Die Mitgliedstaaten bestimmen 
wie folgt: 

a) Personenbezogene Daten sind nach 
Treu un Glauben sowie auf 
rechtmäßige Art und Weise zu 
erheben und zu verarbeiten; 


KAPITEL II 

ALLGEMEINE BEDINGUNGEN FÜR DIE 
RECHTMÄSSIGKEIT DER VERARBEITUNG 
PERSONENBEZOGENER DATEN 

Artikel 5 

Die Mitgliedstaaten sehen vor, daß die 
Verarbeitung personenbezogener Daten nur 
dann rechtmäßig ist, wenn sie im 
Einklang mit den Bestimmungen dieses 
Kapitels erfolgt. 

Unbeschadet der Bestimmungen dieses 
Kapitels können die Mitgliedstaaten die 
Voraussetzungen näher bestimmen, unter 
denen die Verarbeitung personenbezogener 
Daten rechtmäßig ist. 


GRUNDSÄTZE FÜR DIE QUALITÄT DER DATEN 

Artikel 6 

1. Die Mitgliedstaaten sehen folgendes 
vor: 

a) die Verarbeitung personenbezogener 

Daten hat nach Treu und Glauben sowie 
auf rechtmäßige Art und Weise zu 
erfolgen; 


ABSCHNITT I 
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b) die Daten sind für bestimmte, 
ausdrücklich festgelegte und 
rechtmäßige Zwecke zu speichern 
und in einer mit diesen 
Zweckbestimmungen zu 
vereinbarenden Art zu verwenden; 

c) die Daten müssen den Zwecken, 
für die sie gespeichert wurden, 
entsprechen, dafür erheblich 
sein und nicht darüber 
hinausgehen; 

d) die Daten müssen richtig und 
gegebenenfalls auf dem neuesten 
Stand sein; nicht zutreffende 
oder unvollständige Daten sind 
zu löschen oder zu berichtigen; 


e) :iie Daten müssen so aufbewahrt 
werden, daß die betroffene 
Person nicht länger 
identifiziert werden kann, als 
es die Zwecke der Speicherung 
erfordern. 


b) die Daten müssen für bestimmte, 
ausdrücklich festgelegte und 
rechtmäßige Zwecke erhoben und in 
einer mit diesen Zweckbestimmungen zu 
vereinbarenden Weise verwendet 
werden; 

c) die Daten müssen den Zwecken 
entsprechen, für die sie verarbeitet 
werden, dafür erheblich sein und 
nicht darüber hinausgehen; 

d) die Daten müssen richtig und, falls 
erforderlich, auf dem neuesten Stand 
sein; es sind alle Maßnahmen zu 
treffen, damit im Hinblick auf die 
Zwecke, für die sie erhoben wurden, 
nicht zutreffende oder unvollständige 
Daten gelöscht oder berichtigt 
werden ; 

e) die Daten dürfen nicht länger in 
einer ^orm aufbewahrt werden, die die 
Identifizierung der betroffenen 
Personen ermöglicht, als für die 
Realisierung der angestrebten Zwecke 
erforderlich ist. Die Mitgliedstaaten 
können geeignete Garantien für 
personenbezogene Daten vorsehen, die 
für historische, statistische oder 
wissenschaftliche Zwecke aufbewahrt 
werden . 


74 



Deutscher Bundestag — 12. Wahlperiode 


Drucksache 12/8329 


2. Die Verantwortliche der Datei 
hat für die Einhaltung der 
Bestimmungen des Absatzes 1 zu 
sorgen. 

KAPITEL II 

RECHTMÄSSIGKEIT DER VERARBEITUNG IM 
ÖFFENTLICHEN BEREICH 

Artikel 5 

Grundsätze 

1. Vorbehaltlich der Bestimmungen 
in Artikel 6 sehen die 
Mitgliedstaaten in ihren 
Rechtsvorschriften für die Dateien 
des öffentlichen Bereichs folgendes 
vor: 

a) Die Einrichtung einer Datei und 
jede andere Verarbeitung 
personenbezogener Daten sind 
rechtmäßig^ insoweit sie für die 
Wahrnehmung der Aufgaben der für 
diese Datei verantwortlichen 
Behörde erforderlich sind; 

b) die Verarbeitung von Daten zu 
einem anderen Zweck als dem, zu 
dem die Datei errichtet worden 
ist, ist rechtmäßig, wenn: 


2. Der Verantwortliche der Verarbeitung 
hat für die Einhaltung der 
Bestimmungen des Absatzes 1 zu 
sorgen. 

ABSCHNITT II 

GRUNDSÄTZE IN BEZUG AUF DIE GRUNDLAGEN 
DER VERARBEITUNG VON DATEN 

Artikel 7 

Die Mitgliedstaaten sehen vor, daß die 
Verarbeitung personenbezogener Daten 
lediglich erfolgen darf, wenn eine der 
folgenden Voraussetzungen erfüllt ist: 


a) Die betroffene Person hat ihre 
Einwilligung gegeben; 


b) die Verarbeitung ist erforderlich für 
die Erfüllung des mit der betroffenen 
Person geschlossenen Vertrags oder 
für die Durchführung vorvertraglicher 
Maßnahmen, die auf Antrag der 
betroffenen Person erfolgen; 
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die betroffene Person dafür ihre c) 

Einwilligung erteilt oder 


sie auf der Grundlage des 
Gemeinschaftsrechts/ eines 
Gesetzes oder eines Rechtsakts in 
Anwendung eines Gesetzes eines 
Mitgliedstaats erfolgt, wenn 
diese Rechtsgrundlage im Einklang 
mit dieser Richtlinie steht, ihn 
zu dieser Verarbeitung ermächtigt 
und deren Grenzen festlegt oder 

dieser Zweckänderung kein 
berechtigtes Interesse der 
betroffenen Person entgegensteht 
oder 


sie erforderlich ist, um einer 
drohenden Gefahr für die 
öffentliche Sicherheit und 
Ordnung oder einer 
schwerwiegenden Verletzung der 
Rechte Dritter vorzubeugen. 


die Verarbeitung ist erforderlich, um 
einer im einzelstaatlichen Recht oder 
in den Rechtsvorschriften der 
Gemeinschaft vorgesehenen 
Verpflichtung nachzukommen; 

d) die Verarbeitung ist erforderlich für 
die Wahrung lebenswichtiger 
Interessen der betroffenen Person; 


e) die Verarbeitung ist erforderlich für 
die Wahrnehmung einer Aufgabe in 
öffentlichem Interesse oder in 
Ausübung der Staatsgewalt, die dem 
Verantwortlichen der Verarbeitung 
oder dem Dritten, dem die Daten 
übermittelt werden, übertragen wurde; 

f) die Verarbeitung ist erforderlich für 
die Wahrnehmung des 

Allgemeininteresses oder berechtigte 
Interessen des Verantwortlichen der 
Verarbeitung oder des/der Dritten, 
denen die Daten übermittelt werden, 
sofern nicht das Interesse der 
betroffenen Person überwiegt. 
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Artikel 6 

Weitergabe personenbezogener Daten 
bei der Datenverarbeitung im 
öffentlichen Bereich 

1, Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor^ daß 
die Weitergabe personenbezogener 
Daten aus Dateien einer 
öffentlichen Stelle nur rechtmäßig 
ist, wenn: 

a) sie für die Wahrnehmung von 
Aufgaben der öffentlichen 
Stelle, die sie weitergibt oder 
um die Weitergabe dieser Daten 
ersucht, erforderlich ist oder 

b) auf Anfrage einer natürlichen 
oder juristischen Person des 
privaten Bereichs, die ein 
berechtigtes Interesse geltend 
macht, sofern nicht das 
Interesse der betroffenen Person 
überwiegt . 

2. Unbeschadet der Bestimmungen des 
Absatzes 1 können die 
Mitgliedstaaten die Voraussetzungen 
.näher bestimmen, unter denen die 
Weitergabe personenbezogener Daten 
rechtmäßig ist. 
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3. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
der für die Datei Verantwortliche 
die betroffenen Personen in den in 
Absatz 1 Buchstabe b) genannten 
Fällen über die Weitergabe der 
personenbezogenen Daten 
benachrichtigt. Die Mitgliedstaaten 
können festlegen, daß diese 
Information durch eine vorherige 
Genehmigung der Kontrollbehörde 
ersetzt wird. 

KAPITEL III 

ZULÄSSIGKEIT DER VERARBEITUNG IM 
PRIVATEN BEREICH 

Artikel 8 

Grundsätze 

1- Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
ohne die Einwilligung der 
betroffenen Person das Erfassen 
personenbezogener Daten in einer 
Datei und jede andere Verarbeitung 
nur im Einklang mit den 
Bestimmungen dieser Richtlinie 
zulässig sind und wenn: 
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a) die Verarbeitung im Rahmen eines 
Vertrages mit oder eines ver- 
tragsähnlichen Vertrauensver- 
hältnisses zu dem Betreffenden 
erfolgt und für dessen 
Durchführung erforderlich ist 
oder 

b) die Daten aus jedermann 
zugänglichen Quellen stammen und 
ihre Verarbeitung ausschließlich 
Korrespondenzzwecken dient oder 

c) der für die Datei 
Verantwortliche ein berechtigtes 
Interesse verfolgt, sofern nicht 
das Interesse der betroffenen 
Person überwiegt, 

2. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
sich der für die Datei 
Verantwortliche zu vergewissen hat, 
daß jede Weitergabe mit dem Zweck 
der Datei vereinbar ist und die 
öffentliche Sicherheit und Ordnung 
nicht beeinträchtigt. Bei einem 
Datenabruf im .automatisierten 
Verfahren obliegen dem Benutzer 
dieselben Pflichten. 

3. Unbeschadet der Bestimmungen in 
Absatz 1 können die Mitgliedstaaten 
die Bedingungen näher fest legen, 
unter denen die Verarbeitung 
personenbezogener Daten rechtmäßig 
ist • 
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KAPITEL V 

QUALITÄT DER DATEN 
Artikel 17 

Besondere Datenarten 

1. Die Mitgliedstaaten untersagen 
die automatisierte Verarbeitung von 
Daten, aus denen rassische und 
ethnische Herkunft, politische 
Meinung, religiöse odre 
philosophische Überzeugungen sowie 
Gewerkschafts Zugehörigkeit 
hervorgehen, sowie von 
Informationen über Gesundheit und 
Sexualleben, für die keine freie, 
ausdrückliche und schriftliche 
Einwilligung der betroffenen Person 
vorliegt . 


ABSCHNITT III 

BESONDERE KATEGORIEN DER VERARBEITUNG 

Artikel 8 

Verarbeitung besonderer Kategorien 
personenbezogener Daten 

1, Die Mitgliedstaaten untersagen die 
Verarbeitung von Daten, aus denen die 
rassische und ethnische Herkunft, die 
politische Meinung, die religiöse, 
philosophische oder moralische 
Überzeugung oder die 

Gewerkschaftszugehörigkeit hervorgehen, 
sowie von Daten über Gesundheit und 
Sexualleben. 


2. Die Mitgliedstaaten sehen vor, daß 
die Verarbeitung der in Absatz 1 
genannten Daten unter nachstehenden 
Voraussetzungen erfolgen kann: 

a) Die betroffene Person hat schriftlich 
ihre Einwilligung zu einer solchen 
Verarbeitung gegeben, außer in den 
Fällen, in denen den 

Rechtsvorschriften des Mitgliedstaats 
zufolge das Verbot nach Absatz 1 
durch die Einwilligung der 
betroffenen Person nicht aufgehoben 
werden kann; oder 
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2. Die Mitgliedstaaten können aus 
wichtigen Gründen des öffentlichen 
Interesses Ausnahmen von den 
Bestimmungen des Absatzes 1 auf der 
Grundlage eines Gesetzes vorsehen, 
das die speicherbaren Datenarten, 
die Personen, die Zugang zu der 
Datei haben, sowie die 
entsprechenden 
Sicherungsvorkehrungen gegen 
mißbräuchliche Verwendung und 
unzulässigen Zugang näher bestimmt. 


b) die Verarbeitung erfolgt durch eine 
politisch, philosophisch, religiös 
oder gewerkschaftlich ausgerichtete 
Stiftung oder Vereinigung,^ die keinen 
Erwerbszweck verfolgt, im Rahmen 
ihres berechtigten Ziels und unter 
der Voraussetzung, daß sie sich nur 
auf die Mitglieder und 
Korrespondenzpartner der Stiftung 
oder der Vereinigung bezieht und die 
Daten Dritten nicht ohne Einwilligung 
der betroffenen Personen 
weitergeg»=>^en werden; oder 

c) die Verarbeitung erfolgt unter 
solchen Bedingungen, daß sie die 
Privatsphäre und die Grundfreiheiten 
offenkundig nicht beeinträchtigt. 

Die unter Buchstabe b genannte 
Verarbeitung ist von der in Abschnitt 
VIII dieses Kapitels vorgesehenen 
Meldepflicht befreit. 

3, Die Mitgliedstaaten können aus 
Gründen des wichtigen öffentlichen 
Interesses von den Bestimmungen in 
Absatz 1 Ausnahmen auf der Grundlage 
einer nationalen Rechtsvorschrift oder 
einer Entscheidung der Kontrollbehörde 
vorsehen, in denen die Datenarten, die 
verarbeitet werden dürfen, die Empfänger 
der Daten, die Anforderungen bezüglich 
des Verantwortlichen der Verarbeitung 
sowie die geeigneten Garantien näher 
bestimmt werden. 
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4. Daten über strafrechtliche 
Verurteilungen dürfen nur von 
Justizbehörden und den durch die 
betreffenden Entscheidungen unmittelbar 
betroffenen Personen oder ihren 
Vertretern aufbewahrt werden; die 
Mitgliedstaaten können allerdings auf 
der Grundlage einer nationalen 
gesetzlichen Bestimmung, die die 
geeigneten Garantien näher bestimmt, 
Ausnahmen zu lassen. 

5. Die Mitgliedstaaten bestimmen, unter 
welchen Bedingungen eine nationale 
Kennziffer oder jedes andere Kennzeichen 
allgemeiner Bedeutung verwendet werden 
darf . 

KAPITEL VI 

SONDERBESTIMMÜNGEN FÜR BESTIMMTE 
BEREICHE 

Artikel 19 Artikel 9 

Verarbeitung personenbezogener Daten und 
Meinungsäußerungsf reiheit 


3. Daten über strafrechtliche 
Verurteilunegn dürfen nur in 
Dateien des öffentlichen Bereichs 
gespeichert werden. 
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Die Mitgliedstaaten können für 
Presseorgane und audiovisuelle 
Medien von dieser Richtlinie 
abweichende Bestimmungen vorsehen, 
soweit diese erforderlich sind, um 
das Recht auf Privatsphäre mit den 
für die Informat ions- und 
Pressefreiheit geltenden 
Vorschriften in Einklang zu 
bringen, 

KAPITEL IV 

RECHTE DER BETROFFENEN PERSON 

Artikel 14 

Ergänzende Rechte der betroffenen 
Person 

Die Mitgliedstaaten erkennen 
nachstehende Rechte der betroffenen 
Person an: 

3. die Existenz einer Datei, ihre 
wichtigsten Zweckbestimmungen sowie 
die Identität und den gewöhnlichen 
Aufenthalt, den Sitz oder die 
Niederlassung des für die Datei 
Verantwortlichen zu kennen; 


Um das Recht auf Privatsphäre mit den 
für die Meinungsäußerungsfreiheit 
geltenden Vorschriften in Einklang zu 
bringen, sehen die Mitgliedstaaten für 
die Verarbeitungen personenbezogener 
Daten, die von Presseorganen, 
audiovisuellen Medien sowie von 
Journalisten zu journalistischen Zwecken 
vorgenommen werden, von dieser 
Richtlinie abweichende Bestimmungen vor. 

ABSCHNITT VI 

INFORMATION DER BETROFFENEN PERSON 

Artikel 10 

Information über die Existenz einer 
Ver arbe itung 

1. Die Mitgliedstaaten garantieren jeder 
Person das Recht, auf Antrag zu 
erfahren, ob eine Verarbeitung 
existiert, ihre Zweckbestimmung, die 
betreffenden Datenkategorien sowie die 
Dritten oder Kategorien von Dritten, 
denen die Daten weitergegeben werden, 
den Namen und die Anschrift des 
Verantwortlichen der Verarbeitung und 
gegebenenfalls seines Vertreters. 
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2, Die Mitgliedst3aten können unter den 
in Artikel 14 Absatz 1 vorgesehenen 
Bedingungen Ausnahmen von Absatz 1 
vor sehen. 


Artikel 13 

Unterrichtung bei der Datenerhebung 

1. Die Mitgliedstaaten stellen 
sicher, daß die Personen, bei denen 
personenbezogene Daten erhoben 
werden, das Recht haben, zumindest 
über folgendes unterrichtet zu 
werden: 

a) Zweckbestimmung der Datei, für 
die Angaben bestimmt sind; 

b) darüber, ob sie zur Beantwortung 
der Fragen, die Gegenstand der 
Erhebung, verpflichtet sind oder 
nicht; 

c) über die sie betreffenden 
Konsequenzen einer unterlassenen 
Beantwortung ; 

d) über die Empfänger der Angaben, 


Artikel 11 

Unterrichtung bei Erhebung 
personenbezogener Daten bei der 
betroffenen Person 

1, Die Mitgliedstaaten sehen vor, daß 
sich der Verantwortliche der 
Verarbeitung zu überzeugen hat, daß die 
Person, bei der Daten erhoben werden, 
zumindest unterrichtet wird über: 

a) die Zweckbestimmungen der 
Verarbeitung, für die die Daten 
bestimmt sind, 

b) die Tatsache, ob sie zur Beantwortung 
der Fragen, die Gegenstand der 
Erhebung sind, verpflichtet ist oder 
nicht, 

c) die. sie betreffenden Konsequenzen 
einer unterlassenen Beantwortung, 

d) den Empfänger oder die Kategorien der 
Empfänger der Daten, 
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e) Über die Rechte auf Auskunft und 
auf Berichtigung der sie 
betreffenden Daten und 

f) Uber Namen und Anschrift des 
Verantwortlichen der Datei. 

2. Die Bestimmungen des Absatzes 1 
gelten nicht für die Datenerhebung, 
wenn die Unterrichtung der 
betroffenen Person die Ausübung der 
Kontroll- und Überprüfungsaufgaben 
einer Behörde oder die 
Aufrechterhaltung der öffentlichen 
Sicherheit und Ordnung verhindert. 


e) das Vorhandensein der Rechte auf 
Auskunft und Berichtigung für die sie 
betreffenden Daten sowie 

f) den Namen und die Anschrift des 
Verantwortlichen der Verarbeitung und 
gegebenenfalls seines Vertreters. 

2. Die Bestimmungen des Absatzes 1 
gelten nicht für die Datenerhebung, wenn 
die Unterrichtung der betroffenen Person 
die Verfolgung von Kontröll- oder 
Überwachungsaufgaben verhindern 'würde, 
die mit der Ausübung öffentlicher Gewalt 
verbunden ist oder von dem 
Zusammenwirken mit solchen Aufgaben 
herrührt, oder die Aufrechterhaltung 
der öffentlichen Ordnung gefährden 
würde. 
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KAPITEL III 

ZULÄSSIGKEIT DER VERARBEITUNG IM 
PRIATEN BEREICH 

Artikel 9 

Die Pflicht zur Benachrichtigung 
der Betroffenen Person. 

1 • Für den privaten Bereich sehen 
die Mitgliedstaaten in ihren 
Rechtsvorschriften vor^ daß der 
Verantwortliche die betroffene 
Person bei der ersten Weitergabe 
oder bei der Eröffnung einer 
Möglichkeit des automatisierten 
Datenabrufs benachrichtigt und 
dabei die Zweckbestimmung der 
Datei, die Arten der darin 
gespeicherten Daten, seinen Namen 
und seine Anschrift angibt. 


Artikel 12 

Unterrichtung bei Weitergabe an einen 
Dritten 

1. Die Mitgliedstaaten sehen vor, daß 
sich der Verantwortliche der 
Verarbeitung in den in Artikel 7 
Buchstaben b, c, e und f genannten 
Fällen davon überzeugt, daß die 
betroffene Person zu gegebener Zeit, 
spätestens bei der ersten Weitergabe an 
einen Dritten, über diese Weitergabe 
unterrichtet ist sowie zumindest über: 


a) - den Namen und die Anschrift des 

Verantwortlichen der Verarbeitung und 
gegebenfalls seines Vertreters, 

b) die Zweckbestimmungen der 
Verarbeitung, 

c) die Datenkategorien, die verarbeitet 
werden, 

d) den Empfänger oder die Kategorien der 
Empfänger und 
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e) das Recht auf Auskunft, Berichtigung 
und Widerspruch, 

2, Die in Absatz 1 vorgesehene 2. Die Bestinunungen in Absatz 1 finden 

Benachrichtigung ist in dem in nicht Anwendung, wenn: 

Artikel 8 Absatz 1 Buchstabe b) 
genannten Fall nicht zwingend. Die 
Benachrichtigungspflicht besteht in 
den Fällen nicht, in denen die 
Übermittlung gesetzlich 
vorgeschrieben ist. 

die betroffene Person bereits von der 
Weitergabe an einen Dritten oder der 
Möglichkeit der Weitergabe Kenntnis 
hat oder 

die Weitergabe an einen Dritten durch 
ein Gesetz vorgeschrieben ist, das 
eine Abweichung von der Pflicht, die 
betroffene Person zu informieren, 
vorsieht oder 

die Weitergabe an einen Dritten durch 
einen der Gründe in Artikel 14 Absatz 
1 veranlaßt ist. 


3. '"Erhebt dre betroffene Person 
Einwände gegen die Weitergabe oder 
jede ändere Form der Verarbeitung, 
so hat der Verantwortliche der 
Datei die strittige Verarbeitung 
einzustellen, wenn nicht eine 
gesetzliche Bestimmung ihm diese 
erlaubt . 
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Artikel 10 


Besondere Ausnahmen von der Pflicht 
zur Benachrichtigung der 
betroffenen Person 

Erweist sich die Benachrichtigung 
der betroffenen Person nach Artikel 
9 Absatz 1 als unmöglich oder ist 
mit unverhältnismäßigen Bemühungen 
verbunden oder steht ihr ein 
überwiegendes berechtigtes 
Interesse des Verantwortlichen der 
Datei oder ein vergleichbares 
Interesse eines Dritten entgegen, 
so können die Mitgliedstaaten in 
ihren Rechtsvorschriften vorsehen, 
daß die Kontrollbehörde eine 
Ausnahme erteilen kann. 

KAPITEL IV 

RECHTE DER BETROFFENEN PERSON 

Artikel 14 

Ergänzende Rechte der betroffenen 
Person 

Die Mitgliedstaaten erkennen 
nachstehende Rechte der betroffenen 
Person an: 


3. Erweist sich die Unterrichtung der 
betroffenen Person als unmöglich, ist 
sie mit unverhältnismäßigen Bemühungen 
verbunden oder steht ihr ein überwiegen- 
des berechtigtes Interesse- des Vers-'c- 
wortlichen der Verarbeitung oder e 
vergleichbares Interesse eines Dritten 
entgegen, so können die Mitgliedstaaten 
vorsehen, daß die Kontrollbehörde eine 
Ausnahme genehmigen kann, wobei 
gegebenenfalls geeignete Garantien 
vorzusehen sind. 

ABSCHNITT V 

AüSKüNFTSRECHT DER BETROFFENEN PERSON 

Artikel 13 

Auskunftsrecht 

Die Mitgliedstaaten erkenne», folgende 
Rechte der betroffenen Personen an: 
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4. in angemessenen Abständen, 

unverzüglich, in verständlicher 
Form und ohne überhöhte Kosten 
die Bestätigung des 
Vorhandenseins sie betreffender 
personenbezogener Daten in einer 
Datei sowie diese Daten selbst 
in einer verständlichen Form zu 
erhalten. 

Die Mitgliedstaaten können 
vorsehen, daß das Auskunftsrecht 
bei medizinischen Daten nur über 
einen Arzt wahrgenommen werden 
kann; 


5. gegebenenfalls die Berichtigung 
dieser Daten oder ihre Löschung 
oder ihre Sperrung zu erreichen, 
wenn ihre Verarbeitung nicht mit 
den Bestimmungen dieser 
Richtlinie im Einklang steht; 


1- auf Antrag in angemessenen Abständen, 
unverzüglich und ohne überhöhte 
Kosten eine Bestätigung des 
Vorhandenseins sie betreffender 
personenbezogener Daten, eine 
Mitteilung dieser Daten in 
verständlicher Form sowie 
Informationen über ihre Herkunft und 
in allgemeiner Weise über -ihre 
Verwendung zu erhalten- 

\ Die Mitgliedstaaten können vorsehen, 
daß das Auskunftsrecht bei 
medizinischen Daten nur über einen 
Arzt wahrgenommen werden kann; 

2. nicht durch einen Dritten genötigt 
werden zu können, ihr Auskunftsrecht 
wahrzunehmen, um ihm oder einer 
anderen Person die betreffenden Daten 
zu übermitteln, außer wenn der Antrag 
dieses Dritten sich auf 
einzelstaatliche oder 
gemeinschaftliche Rechtsvorschriften 
stützt ; 

. 3. entsprechend den Umständen die 

Berichtigung, Löschung oder Sperrung 
unzutreffender oder unvollständiger 
Daten zu erreichen, wenn ihre 
Verarbeitung nicht mit den 
Bestimmungen dieser Richtlinie im 
Einklang steht; 
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7. bei Anwendung von Absatz 5 

dieses Artikels und soweit Daten 
an Dritte weitergegeben sind, zu 
erreichen, daß letzteren die 
Berichtigung, Löschung oder 
Sperrung mitgeteilt wird; 


Artikel 15 

Ausnahmen vom Auskunftsrecht der 
betroffenen Personen bei Dateien 
des öffentlichen Bereichs 

1. Die Mitgliedstaaten können die 
in Artikel 14 unter den Punkten 3 
und 4 vorgesehenen Rechte aus 
nachstehenden Gründen durch Gesetz 
einschränken: 


4. bei Anwendung von Nummer 3 zu 
erreichen, wenn die Daten an Dritte 
weitergegeben wurden, daß die 
Berichtigung, Löschung oder Sperrung 
diesen Dritten mitgeteilt wird; 

5. bei automatisierten Verarbeitungen, 
deren Ergebnisse der betroffenen 
Person entgegengehalten werden,* auf 
Antrag die verwendeten Begründungen 
zu erfahren* 

Artikel 14 

Ausnahmen vom Auskunftsrecht 

1. Die Mitgliedstaaten können, sofern 
nicht eine gemeinschaftsrechtliche 
Vorschrift sie hierzu verpflichtet, die 
Ausübung der in Artikel 10 Absatz 1 und 
13 Nummer 1 vorgesehenen Rechte be- 
schränken, wenn eine solche Einschrän- 
kung notwendig ist zum Schutz der: 
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a) Sicherheit des Staates, 

b) Landesverteidigung, 

c) Strafverfolgung, 

d) Öffentliche Sicherheit und 
Ordnung , 

e) ordnungsgemäß begründetes, 
zwingendes wirtschaftliches und 
finanzielles Interesse eines 
Mitgliedstaats oder der 
Europäischen Gemeinschaft, 

f) Notwendigkeit der Erfüllung 
behördlicher Kontroll- oder 
Überwachungsaufgaben, oder 


g) ein gleichwertiges Recht einer 
anderen Person und Rechte und 
Freiheiten eines Dritten, 

2. In den Absatz 1 genannten Fällen 
muß die Kontrol IbehÖrde auf Antrag 
der betroffenen Person die 
notwendigen Überprüfungen der Datei 
vornehmen können. 


a) Sicherheit des Staates; 

b) Landesverteidigung; 

c) Strafverfolgung; 

d) öffentlichen Sicherheit; 

e) ordnungsgemäß begründeten, zwingenden 
wirtschaftlichen und finanziellen 
Interessen eines Mitgliedstaats oder 
der Europäischen Gemeinschaft; 

f ) Kontroll- oder. Überwachungsaufgaben, 
die mit der Ausübung öffentlicher 
Gewalt verbunden sind oder von dem 
Zusammenwirken mit solchen Aufgaben 
herrühren; 

g) gleichwertigen Rechte einer anderen 
Person und Rechte und Freiheiten 
anderer. 


2. In den in Absatz 1 genannten Fällen 
muß die Kontrollbehörde auf Antrag der 
betroffenen Person die notwendigen 
Überprüfungen vornehmen können, um die 
Rechtmäßigkeit der Verarbeitung im Sinne 
der vorliegenden Richtlinie unter 
Berücksichtigung der gemäß Absatz 1 zu 
schützenden Interessen zu kontrollieren. 
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3. Die Mitglieästaaten können das 
Auskunftsrecht der betroffenen 
Person für Daten einschränken, die 
nur vorübergehend zur Ermittlung 
statistischer Informationen 
gespeichert werden. 


KAPITEL IV 

RECHTE DER BETROFFENEN PERSON 

Artikel 14 

Ergänzende Rechte der betroffenen 
Person 

Die Mitgliedstaaten erkennen 
nachstehende Rechte der betroffenen 
Perspn an: 

1. aus berechtigten Gründen dagegen 
Einspruch zu erheben, daß sie 
betreffende personenbezogene 
Daten Gegenstand einer 
Verarbeitung sind; 


3. Die Mitgliedstaaten können das 
Auskunftsrecht der betroffenen Person 
für Daten einschränken, die 
vorübergehend personenbezogen auf bewahrt 
werden, um für statistische Zwecke 
dergestalt verarbeitet zu werden, daß 
die betroffenen Personen 
vernünftigerweise nicht mehr bestimmbar 
sind, 

ABSCHNITT VI 

WIDERSPRUCHSRECHT DER BETROFFENEN PERSON' 

Artikel 15 

Widerspruch aus berechtigten Gründen 

1. Die Mitgliedstaaten erkennen das 
Recht der betroffenen Person an, 
jederzeit aus berechtigten Gründen 
dagegen Widerspruch einlegen zu können, 
daß sie betreffende Daten Gegenstand 
einer Verarbeitung sind. 
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(Artikel 9) 


3. erhebt die betroffene Person 
Einwände gegen die Weitergabe 
oder jede andere Form der 
Verarbeitung, so hat der 
Verantwortliche der Datei die 
strittige Verarbeitung 
einzustellen, wenn nicht eine 
gesetzliche Bestimmung ihm diese 
erlaubt. 


(Artikel 14) 

6. auf Antrag die kostenlose 

Löschung der sie betreffenden 
Daten zu erreichen, die in 
Dateien für Zwecke der 
Marktforschung oder Werbezwecke 
gespeichert sind; 


2. Im Fall eines berechtigten 
Widerspruchs hat der Verantwortliche 
der Verarbeitung diese einzustellen. 


3. Der Verantwortliche der Verarbeitung 
hat sich zu vergewissern, daß vor der 
Übermittlung personenbezogener Daten an 
Dritte oder deren Benützung im Auftrag 
Dritter für schriftliche Werbezwecke die 

betroffenen Personen ausdrücklich auf 

« 

die Möglichkeit hingewiesen wurden, ihre 
Daten ohne Kosten löschen lassen zu 
können. 
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(Artikel 14) 

2. keiner Verwaltungsmaßnahme oder 
Entscheidung im privaten Bereich 
unterworfen zu werden, die eine 
Beurteilung ihres Verhaltens 
enthält und sich dabei allein auf 
eine rechnergestützte Verarbeitung 

personenbezogener Daten stützt, die 

■ 

ein Persönlichkeitsprofil des 
Betroffenen herstellt; 


Artikel 16 

Automatisierte Einzelentscheidungen 

1. Die Mitgliedstaaten räumen jeder 
Person das Recht ein, keiner sie 
beschwerenden Verwaltungsmaßnahme oder 
Entscheidung im privaten Bereich " 
unterworfen zu werden, die 
ausschließlich aufgrund einer 
automatisierten, Verarbeitung ergangen 
ist, die ein Persönlichkeitsprofil 
erstellt- 

2. Die Mitgliedstaaten sehen unbeschade 
der anderen Artikel dieser Richtlinie 
vor, daß eine Person einer Entscheidung 
nach Absatz 1 unterworfen werden kann, 
wenn: 

a) die. Entscheidung im Rahmen eines 
Vertragsabschlusses oder seiner 
Erfüllung ergeht und das Begehren der 
betroffenen Person befriedigt wurde 
oder geeignete Maßnahmen - unter 
diesen die Möglichkeit, ihren 
Standpunkt geltend zu machen • die 
Wahrung ihrer berechtigten Interessr 
garantieren, ^ oder 

b) die Entscheidung durch ein Gesetz 
erlaubt ist, das Garantien zur 
Wahrung der berechtigten Interessen 
der betroffenen Person beinhaltet. 
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KAPITEL V 
QUALITÄT DER DATEN 
Artikel 18 

Sicherheit der Daten 

1. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
der Verantwortliche der Datei 
verpflichtet ist, die angemessenen 
technischen und organisatorischen 
Maßnahmen zu treffen, die für den 
Schutz der Datei gegen die 
zufällige oder nicht genehmigte 
Zerstörung, den zufälligen Verlust 
sowie die nicht genehmigte 
Veränderung, den nicht genehmigten 
Zugriff oder Zugang und jede andere 
Form der nicht genehmigten 
Verarbeitung personenbezogener 
Daten erforderlich sind. 


ABSCHNITT VII 

SICHERHEIT DER VERARBEITUNG 

Artikel 17 

1. Die Mitgliedstaaten sehen in ihren 
Rechtsvorschriften vor, daß der 
Verantwortliche der Verarbeitung die 
geeigneten technischen und 
organisatorischen Maßnahmen zu treffen 
hat, die für den Schutz gegen die 
zufällige oder unrechtmäßige Zerstörung 
den zufälligen Verlust sowie die 
Umgestaltung, die Weitergabe und jede 
andere Form der nicht genehmigten 
Verarbeitung personenbezogener Daten 
erforderlich sind. 
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Diese Maßnahmen müssen für 
automatisierte Dateien unter 
feerücksichtigung des Standes der 
Technik, der Kosten für ihre 
Verwirklichung, der Art der zu 
schützenden Daten sowie der 
Beurteilung potentieller Risiken 
ein angemessenes Sicherheitsniveau 
gewährleisten. Dazu hat der 
Verantwortliche der Datei die 
Empfehlungen für die DV-Sicherheit 
und die Verknüpfbarkeit von Netzen 
zu berücksichtigen, die die 
Kommission nach dem in Artikel 29 
vorgesehenen Verfahren 
ausgearbeitet hat. 

2 . Für die Übertragung personenbe- 
zogener Daten über Netze sind Ver- 
fahren zu wählen, die eine angemes- 
sene Sicherheit gewährleisten. 

3. Bei dem Datenabruf in 
automatischen Verfahren sind’die 
Geräte und die Programme so zu 
gestalten, daß die Abfrage sich im 
Rahmen der vom 

Dateiverantwortlichen erteilten 
Berechtigung hält. 


Diese Maßnahmen müssen für die 
automatisierte Verarbeitung der Daten 
unter Berücksichtigung des Standes der 
Technik sowie der Art der zu schützenden 
Daten und der Beurteilung potentieller 
Risiken ein angemessenes Sicher.heits- 
niveau gewährleisten. Dazu hat der - 
Verantwortliche der Verarbeitung die 
Empfehlungen für die Sicherheit und der 
Datenverarbeitung und die Verknüpfbar- 
keit von Netzen zu berücksichtigen, die 
die Kommission nach den in Artikel 33 
vorgesehenen Modalitäten ausgearbeitet 
hat. 


2. Für die Übertragung personenbezogener 
Daten über Netze sind Verfahren zu 
wählen, die eine angemessene Sicherheit 
gewährleisten . 

3. Besteht die Möglichkeit des Fernzu- 
griffs, so hat der Verantwortliche der 
Verarbeitung die technischen Anlagen und 
Programme so zu gestalten, daß der Zu- 
griff im Rahmen der Rechtmäßigkeit der 
Verarbeitung erfolgt. 
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4. Die in den Absätzen 1 bis 3 
genannten Pflichten obliegen auch 
den Personen, die tatsächlich oder 
aufgrund eines Vertrages die auf 
Dateien bezogenen Verarbeitungs- 
vorgänge kontrollieren. 

5. Jede Person, die im Rahmen ihrer 
beruflichen Tätigkeit Zugang zu in 
den Dateien gespeicherten 
Informationen hat, darf diese 
Dritten nicht ohne das 
Einverständnis des Verantwortlichen 
Datei mitteilen. 

KAPITEL II 

RECHTMÄSSIGKEIT DER VERARVBEITUNG 
IM ÖFFENTLICHEN BEREICH 

Artikel 7 - Meldepflicht bei der 
Kont ro 1 IbehÖrde 

1. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
die Einrichtung einer Datei des 
öffentlichen Bereichs, deren 
personenbezogene Daten für eine 
Weitergabe in Frage kommen, zuvor 
der KontrollbehÖrde gemeldet werden 
muß, die dies in ein Register 
einträgt. Das Register kann von 
jedermann eingesehen ^erdBn, 


4. Die in den Absätzen 1, 2 und 3 
genannten Pflichten obliegen auch den 
Personen, die bei der Verwirklichung der 
Verarbeitung Verantwortung tragen, 
insbesondere der mit der Verarbeitung 
beauftragten Person. 

5. Jeder Person, die im Rahmen ihrer 
beruflichen Tätigkeit Zugang zu 
personenbezogenen Daten hat, darf diese 
Dritten nicht ohne das Einverständnis 
des Verantwortlichen der Verarbeitung 
weitergeben, außer wenn Verpflichtungen 
aufgrund einzelstaatlicher oder 
gemeinschaftlicher Rechtsvorschriften 
bestehen . 

ABSCHNITT VIII 

MELDUNG 

Artikel 18 - Meldepflicht bei der 
KontrollbehÖrde 

1. Die Mitgliedstaaten sehen eine 
Meldung des Verantwortlichen der 
Verarbeitung oder gegebenenfalls seines 
Vertreters bei der in Artikel 30 
genannten KontrollbehÖrde vor, bevor 
eine vollständig oder teilweise 
automatisierte Verarbeitung oder eine 
Mehrzahl gleichartiger Verarbeitungen* 
zur Realisierung einer oder mehrerer 
verbundener Zweckbestimmungen 
durchgeführt wird. 
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2. le Mitgliedstaaten legen fest, 2. Die Mitgliedstaaten legen fest, 

vfe ne Angaben der Kontrollbehörde welche Informationen die Meldung zu 

zu melden sind. Diese Angaben haben enthalten hat. Sie umfassen zumindest: 

mindestens Namen und Anschrift des 

Verantwortlichen der Datei, ihre 

Zweckbestimmung, eine Beschreibung 

der Art der gespeicherten Daten, 

die Dritten, denen die Daten 

möglicherweise weitergegeben 

werden, sowie eine Beschreibung der 

in Anwendung von Artikel 18 

getroffenen Maßnahmen zu umfassen. 

a) den Namen und die Anschrift des 
Verantwortlichen der Verarbeitung und 
gegebenenfalls seines Vertreters; 

b) die Zweckbestimmung (en) der 
Verarbeitung ; 

c) die Kategorie (n) der betroffenen 
Personen; 

3. Die Mitgliedstaäten können d) eine Beschreibung der Daten oder der 

vorsehen, daß die Bestimmungen der Datenkategorien, auf die sich die 

Absätze 1 und 2 auf andere Dateien Verarbeitung bezieht; 

des öffentlichen Bereichs Anwendung 
finden und die Einsicht in das 
Register aus den in Artikel 15 
Absatz 1 genannten Gründen 
eingeschränkt werden kann. 
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e) die Dritten oder die Kategorien der 
Dritten, denen die Daten 
möglicherweise mitgeteilt werden; 

f) den geplanten Datentransfer in 
Drittländer; 

g) eine Beschreibung der ergriffenen 
Maßnahmen nach Artikel 17 zur 
Gewährleistung der Sicherheit der 
Verarbeitung. 

3. Jede Änderung, die die in Absatz 2 
genannten Informationen berührt, ist der 
Kontrol Ibehörde zu melden. 

4. Die Kontrollbehörde prüft vor ihrer 
Durchführung die Verarbeitungen, die 
hinsichtlich der Rechte und Freiheiten 
von Personen besondere Risiken auf- 
weisen, innerhalb einer Frist von 15 
Tagen nach dem Tag ihrer Meldung; nach 
Ablauf dieser Frist gibt die Behörde das 
Ergebnis ihrer Prüfung bekannt. 

5. Die Mitgliedstaaten können vorsehen, 
daß gewisse der in Absatz 4 genannten 
Verarbeitungen einer vorherigen 
Genehmigung durch die Kontrollbehörde 
unterliegen. Die Mitgliedstaaten können 
vorsehen*, daß die vorgenannte 
Genehmigung durch Gesetz .erfolgt. 
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KAPITEL III 

ZULÄSSIGKEIT DER VERARBEITUNG IM 
PRIVATEN BEREICH 

Artikel 11 

Meldepflicht bei der 
Kontrollbehörde 

1. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
der Verantwortliche der Datei die 
Einrichtung einer Datei mit 
personenbezogenen Daten meldet, 
soweit die Daten zur Weitergabe 
bestimmt sind und nicht aus 
jedermann zugänglichen Quellen 
stammen. Die Meldung hat bei der 
Kontrollbehörde des Mitgliedstaats 
zu erfolgen, in dem die Datei sich 
befindet, oder, falls sie sich in 
keinem Mitgliedstaat befindet, bei 
der Kontrollbehörde des 
Mitgliedstaats, in dem der 
Verantwortliche der Datei ansässig 
ist. Der Verantwortliche der Datei 
hat den zuständigen 
einzelstaatlichen Behörden jede 
Änderung seiner Anschrift oder der 
Zweckbestimmung der Datei zu 
melden . 
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2. Die Mitgliedstaaten legen fest, 
welche Angaben der Kontrollbehörde 
zu melden sind. Diese Angaben 
umfassen mindestens Namen und 
Anschrift des Verantwortlichen der 
Datei, die Zweckbestimmung der 
Datei, eine Beschreibung der Arten 
der gespeicherten Daten, die 
Dritten, denen die Daten 
möglicherweise weitergegeben 
werden, sowie eine Beschreibung der 
in Anwendung von Artikel 18 
getroffenen Maßnahmen. 

3. die Mitgliedstaaten können 
vorsehen, daß die Bestimmungen in 
Absatz 1 und 2 auf andere Dateien 
des privaten Bereichs Anwendung 
finden und die Angaben nach Absatz 
2 der Öffentlichkeit zugänglich 
sind. 


Artikel 19 


Vereinfachung und Befreiung von der 
Meldepflicht 
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1. Die Mitgliedstaaten sehen Vor, daß 
die Meldung für bestimmte Kategorien von 
Verarbeitungen, die die Rechte und 
Freiheiten der betroffenen Personen 
nicht beeinträchtigen, vereinfacht wird 
oder entfällt- Diese 
Verarbeitungskategorien betref fen- 
insbesondere das Erstellen beruflicher 
Schreiben oder Dokumente, die Erfüllung 
gesetzlicher, buchhaltungsbezogener, 
steuerlicher oder sozialer 
Verpflichtungen oder auch die Abfrage 
bei allgemein zugänglichen 
dokumentarischen Diensten. 

2. Die Maßnahme zur Vereinfachung oder 
Befreiung von der Meldepflicht wird 
entweder durch die Kontrollbehörde oder 
nach Anhörung der Kontrollbehörde 
erlassen. Die obengenannte Maßnahme 
beinhaltet im einzelnen für jede 
Verarbeitungskategorie insbesondere : 

- die Zweckbestimmung der Verarbeitung, 
eine Beschreibung der verarbeiteten 
Daten oder Datenkategorien, 

- die Kategorie(n) der betroffenen 
Personen, 

die Dritten oder Kategorien der 
Dritten, denen die Daten 
weitergegeben werden, 
die Aufbewahrungsfrist der Daten, 
gecT'benenf al Is die Bedingungen, unter 
de die Verarbeitung *r folgt. 
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3. Die Vereinfachung oder die Befreiung 
von der Meldepflicht entbindet den 
Verantwortlichen der Verarbeitung von 
keiner anderen Verpflichtung aus dieser 
Richtlinie . 

Artikel 20 


Manuelle Verarbeitung 

Die Mitgliedstaaten können die Voraus- 
setzungen festlegen, unter denen die in 
den Artikeln 18 und 19 vorgesehenen 
Bestimmungen für nicht automatisierte 
Verarbeitungen personenbezogener Daten 
in Dateien gelten. 

Artikel 21 

Register der gemeldeten Verarbeitungen 

Die Mitgliedstaaten sehen vor, daß die 
Kontrollbehörde das. Register der 
gemeldeten Verarbeitungen führt. Das 
Register enthält in den in den Artikeln 
18 und 19 vorgesehenen Fällen mindestens 
die Informationen, die in Artikel 18 
Absatz 2, Buchstaben a bis f, 
aufgeführt sind. Es kann von jeder 
Person eingesehen werden, vorbehaltlich 
der Beschränkungen, die die 
Mitgliedstaaten gemäß Artikel 14 Absatz 
1 vor sehen können. 
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KAPITEL IV 

RECHTE DER BETROFFENEN PERSON 

Artikel 14 

Ergänzende Rechte der betroffenen 
Person 

Die Mitgliedstaaten erkennen 
nachstehende Rechte der betroffenen 
Person an: 

8. bei Verletzung der in diesem 
Artikel garantierten Rechte bei 
Gericht einen Rechtsbehelf einlegen 
zu können, 

KAPITEL VII 

HAFTUNG UND SANKTIONEN 

Artikel 21 
Haftung 

1. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
jede Person, deren personenbezogene 
Daten in einer Datei gespeichert 
sind und die wegen der Verarbeitung 
oder jeder anderen mit den 
Bestimmungen dieser Richtlinie 
unvereinbaren Maßnahmen einen 
Schaden erleidet, das Recht hat,, 
von dem Verantwortlichen der Datei 
Schadensersatz zu verlangen. 


KAPITEL III 

RECHTSBEHELFE, HAFTUNG UND SANKTIONEN 
Artikel 22 

Gerichtliche Rechtsbehelfe 


Die Mitgliedstaaten sehen vor, daß jede 
Person bei Verletzung der in dieser 
Richtlinie garantierten Rechte bei 
Gericht einen Rechtsbehelf einlegen 
kann. 


Artikel 23 
Haftung 

1. Die Mi.tgliedstaaten sehen vor, daß 
jede Person, deren personenbezogene 
Daten Gegenstand einer Verarbeitung sind 
und die wegen einer rechtswidrigen 
Verarbeitung oder jeder anderen mit den 
nationalen Vorschriften zur Umsetzung 
dieser Richtlinie unvereinbaren Handlung 
einen Schaden erleidet, das Recht hat, 
von dem Verantwortlichen der 
Verarbeitung Schadensersatz zu 
verlangen. 
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2. Die Mitgliedstaaten können 
bestimmen, daß Schäden wegen 
Verlusts oder Zerstörung von Daten 
oder wegen unbefugtem Zugangs dem 
Verantwortlichen der Datei nicht 
zugerechnet werden können, wenn er 
nachweist, daß er angemessene 
Maßnahmen getroffen hat, um den in 
Artikel 18 und 22 genannten 
Anforderungen zu genügen. 

Artikel 22 

Verarbeitung im Auftrag des 
Datei verantwort liehen 

1. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor, daß 
sich der Verantwortliche der Datei 
im Fall einer Verarbeitung in 
seinem Auftrag vergewissen muß, daß 
die erforderlichen Sicherheits- un 
organisatorischen Maßnahmen 
getroffen werden; er muß eine 
Person oder ein Unternehmen wählen, 
die bzw. das in dieser Hinsicht 
ausreichende Gewähr bietet. 


2. Die Mitgliedstaaten können vorsehen, 
daß der Verantwortliche der Verarbeitung 
teilweise oder vollständig von seiner 
Haftung für Schäden wegen Verlusts oder 
Zerstörung von Daten oder wegen 
unbefugten Zugriffs befreit werden kann, 
wenn er nachweist', daß er die geeigneten 
Maßnahmen getroffen hat, um den in 
Artikel 17 und 24 genannten 
Anforderungen zu genügen. 

Artikel 24 

Auf trags Verarbeitung 

1. Die Mitgliedstaaten sehen vor, daß 
sich der Verantwortliche der 
Verarbeitung im Fall einer Verarbeitung 
in seinem Auftrag vergewissern muß, daß 
die erforderlichen Sicherheits- und 
organisatorischen Maßnahmen beachtet 
werden; er muß eine Person für die 
Verarbeitung auswählen, die in dieser 
Hinsicht ausreichende Gewähr bietet. 
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2. Jede Person, die 2. Die mit der Verarbeitung beauftragte 

personenbezogene Daten im Auftrag Person nimmt ausschließlich die 

des Verantwortlichen der Datei Verarbeitung der personenbezogenen Daten 

erhebt oder verarbeitet, hat den vor, die in dem mit dem Verantwortlichen 

Pflichten nach Article 16 und 18 der Verarbeitung geschlossenen Vertrag 

dieser Richtlinie nachzukommen. festgelegt ist; sie erhält Weisungen 

ausschließlich von letzterem. Sie' hat 
die nationalen Durchführungsvorschriften 
dieser Richtlinie einzuhalten. 

3. Der Vertrag bedarf der Schriftform 
und hat insbesondere die Bestimmung zu 
enthalten, daß die in Anwendung dieses 
Vertrags verarbeiteten personenbezogenen 
Daten einem Dritten durch die mit der 
Verarbeitung beauftragte Person oder 
ihre Beschäftigten nur mit Zustimmung 
des Verantwortlichen der Verarbeitung 
weitergegeben werden dürfen. 

Artikel 23 Artikel 25 


3. Der Vertrag bedarf der 
Schriftform und hat insbesondere 
die Bestimmung zu enthalten, daß 
die personenbezogenen Daten durch 
den Auftragnehmer oder seine 
Beschäftigten nur mit Zustimmung 
des Verantwortlichen der Datei 
weitergegeben werden dürfen. 


Sanktionen 

Jeder Mitgliedstaat sieht in seinen 
Rechtsvorschriften die Anwendung 
von ausreichenden Sanktionen vor, 
um die Einhaltung der zur 
Durchführung dieser Richtlinie 
erlassenen Bestimmungen zu 
gewährleisten . 


Sanktionen 

Jeder Mitgliedstaat sieht die Anwendung 
ausreichender Sanktionen für alle 
Personen vor, die die zur Durchführung 
dieser Richtlinie erlassenen 
einzelstaatlichen Vorschriften nicht 
einhalten. 
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KAPITEL VIII 

WEITERGABE PERSONENBEZOGENER DATEN 
IN DRITTLÄNDER 

Artikel 24 

Grundsätze 

1. Die Mitgliedstaaten sehen in 
ihren Rechtsvorschriften vor> daß 
die vorübergehende oder endgültige 
Weitergabe personenbezogener Daten, 
die Gegenstand einer Verarbeitung 
oder zü diesem Zweck gesammelt 
sind, in ein Drittland nur 
statt finden kann, wenn dieses Land 
ein angemessenes Schutzniveau 
gewährleistet. 


KAPITEL IV 

WEITERGABE PERSONENBEZOGENER DATEN IN 
DRITTLÄNDER 

Artikel 26 

Grundsätze 

1. Die Mitgliedstaaten sehen vor, daß 
der vorübergehende oder endgültige 
Transfer personenbezogener Daten, die 
Gegenstand einer Verarbeitung oder zu 
diesem Zweck erfaßt sind, in ein 
Drittland nur stattfinden kann, wenn 
dieses Drittland ein angemessenes 
Schutzniveau gewährleistet. 
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Abweichend von Absatz 1 sehen die 
Mitgliedstaaten vor# daß ein Transfer in 
ein Drittland, das kein angemessenes 
Schutzniveau gewährleistet, vorgenommen 
werden kann, sofern: 

- die betroffene Person ihre Einwilli- 
gung zu dem geplanten Transfer* im 
Rahmen vorvertraglicher Beziehungen 
gegeben hat, unbeschadet gegebenen- 
falls der Bestimmungen des Artikels 8 
Absatz 2 Buchstabe a; oder 

- der Transfer für die Erfüllung eines 
Vertrags zwischen der betroffenen 
Person und dem Verantwortlichen der 
Verarbeitung erforderlich ist, unter 
der Voraussetzung, daß die betroffene 
Person davon unterrichtet wurde, daß 
der Transfer in ein Drittland, das 
kein angemessenes Schutzniveau 
gewährleistet, beabsichtigt ist oder 
beabsichtigt werden konnte; oder 

- der. Transfer für die Wahr.;:. 7 eines 
wichtigen öffentlichen In-resses 
erforderlich ist; oder 

- der Transfer für die Wahrung 
lebenswichtiger Interessen der 
betroffenen Person erforderlich ist. 
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2. Die Angemessenheit des Schutzniveaus, 
das ein Drittland bietet, wird unter 
Berücksichtigung aller Umstände 
beurteilt, die bei einem Transfer oder 
einer Kategorie von Datentransfers eine 
Rolle spielen; insbesondere werden die 
Art der Daten, die Zweckbestimmung sowie 
die Dauer der geplanten Verarbeitung, 
die in dem betreffenden Drittland 
geltenden allgemeinen oder sektoriellen 
gesetzlichen Bestimmungen sowie die dort 
beachteten Standesregeln berücksicht igt . 


2. Die Mitgliedstaaten teilen der 
Kommission Fälle mit, in denen ein 
Daten einführendes Drittland kein 
angemessenes Schutzniveau 
gewährleistet . 

3. Stellt die Kommission auf der 
Grundlage von Informationen der 
Mitgliedstaaten öder auf der 
Grundlage anderer Informationen 
fest, daß ein Drittland kein 
angemessenes Schutzniveau aufweist 
und dies für die Interessen der 
Gemeinschaft oder eines 
Mitgliedstaats nachteilig ist, so 
kann sie Verhandlungen einleiten, 
um eine Lösung für diese 
Situationen herbeizuführen. 


3. Die Mitgliedstaaten teilen der 
Kommission Fälle mit, in denen ihres 

\ 

Erachtens nach ein Drittland kein 
angemessenes Schutzniveau gewährleistet. 

4. Stellt die Kommission auf der 
Grundlage von Informationen der 
Mitgliedstaaten oder auf der Grundlage 
anderer Informationen fest, daß ein 
Drittland kein angemessenes Schutzniveau 
aufweist und dies für die Interessen der 
Gemeinschaft oder eines Mitgliedstaats 
nachteilig ist, so kann siö 
Verhandlungen einleiten, um eine Lösung 
für diese Situation herbeizuführen. 
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4. Die Kommission kann nach dem 
Verfahren gemäß Artikel 30 Absatz 2 
dieser Richtlinie feststellen, daß 
ein Drittland aufgrund der von ihm 
eingegangenen internationalen 
Verpflichtungen oder seiner 
innerstaatlichen Rechtsvorschriften 
ein angemessenes Schutzniveau 
gewährleistet • 

5. Die im Rahmen dieses Artikels 
getroffenen Maßnahmen entsprechen 
den Pflichten der Gemeinschaft 
aufgrund bilateraler und 
multilateraler internationaler 
Abkommen, die den Schutz von 
Personen im Hinblick auf die 
automatisierte Verarbeitung 
personenbezogener Daten regeln. 


5. Die Kommission kann nach dem 
Verfahren gemäß Artikel 34 Absatz 2 
feststellen, daß ein Drittland aufgrund 
der von ihm eingegangenen 
internationalen Verpflichtungen oder 
seiner innerstaatlichen 
Rechtsvorschriften ein angemessenes 
Schutzniveau gewährleistet. 

6. Die im Rahmen dieses Artikels 
getroffenen Maßnahmen haben den 
Pflichten der Gemeinschaft aufgrund 
bilateraler und multilateraler 
internationaler Abkommen zu entsprechen, 
die den Schutz von Personen im Hinblick 
auf die automatisierte Verarbeitung 
personenbezogener Daten regeln. 
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Artikel 25 
Ausnahmebestimmung 

1. Ein Mitgliedstaat kann von den 
Bestimmungen des Artikels 24 
Absatz 1 für eine bestimmte 
Datenübermittlung ins Ausland 
abweichen/ wenn der Verantwortliche 
der Datei ausreichend glaubhaft 
macht, daß die Einhaltung eines 
angemessenen Schutzniveaus 
sichergestellt ist. Der Mitglied- 
staat kann eine Ausnahme nur nach 
vorheriger Unterrichtung der 
Kommission und der Mitgliedstaaten 
gewähren, wenn weder ein Mitglied- 
staat noch die Kommission innerhalb 
einer Frist von zehn Tagen Wider- 
spruch erheben. 

2. Wird Widerspruch erhoben, so * 
trifft die Kommission gemäß dem 
Verfahren nach Artikel 30 Absatz 2 
die geeigneten Maßnahmen 


Artikel 27 

Besondere Maßnahmen 

1. Unbeschadet des Artikels 26 Absatz- 1 
zweiter Unterabsatz kann ein ’Mitgl ied- 
staat einen Transfer oder eine Kategorie 
von Transfers personenbezogener Daten in 
ein Drittland genehmigen, das kein 
angemessenes Schutzniveau gewährleistet, 
wenn der Verantwortliche der 
Verarbeitung ausreichende Nachweise 
erbringt, die sich vor allem aus 
geeigneten vertraglichen Bestimmungen 
ergeben können, daß insbesondere die 
tatsächliche Wahrnehmung der Rechte der 
betroffenen Personen gewährleistet ist. 


2. Der Mitgliedstaat unterrichtet 
rechtzeitig die Kommission und die 
anderen Mitgliedstaaten über das 
Genehmigungsvorhaben . 

3. Legt ein Mitgliedstaat oder die 
Kommission vor Wirksamwerden der 
Genehmigung Widerspruch ein, so erläßt 
die Kommission die geeigneten Maßnahmen 
entsprechend dem Verfahren gemäß Artikel 
34 Absatz 2. ‘ 
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KAPITEL VI 

SONDERBESTIMMUNGEN FÜR BESTIMMTE 
BEREICHE 

Artikel 20 

Die Mitgliedstaaten ermutigen die 
Berufs- und Standesvertretungen auf 
der Grundlage der in dieser 
Richtlinie enthaltenen Prinzipen an 
der Ausarbeitung von europäischen 
Standes- oder Verhaltensregeln für 
bestimmte Bereiche mitzuwirken. 


KAPITEL V 

VERHALTENSREGELN 

Artikel 28 

Nationale Verhaltensregeln 

1. Die Mitgliedstaaten können vorsehen, 
daß von den Interessenverbänden 
ausgearbeitete Verhaltensregeln 
ergänzende Maßnahmen im Hinblick auf die 
Besonderheiten bestimmter Bereiche 
festlegen können, unbeschadet der zur 
Umsetzung dieser Richtlinie erlassenen 
Rechtsvorschriften. 

2. Die Entwürfe der Verhaltensregeln 
werden von der einzelstaatlichen 
Kontrollbehörde geprüft, die sich von 
ihrer Begründetheit und der 
Repräsentativität der 

Interessenverbände, die sie vorbereitet 
haben, überzeugt. Sie holt die 
Stellungnahmen der betroffenen Personen 
oder ihrer Vertreter ein. 

•3. Die Mitgliedstaaten sorgen für die 
amtliche Veröffentlichung der 
Verhaltensregeln, die eine positive 
Stellungnahme von der Kontrollbehörde 
erhalten haben. 

4. Jede Verlängerung oder Änderung der 
Verhaltensregeln unterliegt dem gleichen 
Verfahren . 
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Artikel 29 - Gemeinschaftliche 
Verbal tens rege ln 

1. Die Mitgliedstaaten und die 
Kommission ermutigen die Interessen- 
verbände, an der Ausarbeitung gemein- 
schaftlicher Verhaltensregeln zur 
Durchführung dieser Richtlinie im 
Hinblick auf die Besonderheiten 
mitzuwirken. 

2. Die Kommission kann Verhaltensregeln 
zur Information im Amtsblatt der Euro- 
päischen Gemeinschaften veröffentlichen, 
zusammen mit der Stellungnahme der in 
Artikel 31 genannten Gruppe, die diese 
abgegeben hat und die sich zum Inhalt 
der Verhaltensregeln und zur Repräsen- 
tativität der Verbände auf europäischer 
Ebene äußert, die sie ausgearbeitet 
haben. Die Gruppe holt die Stellung- 
nahmen der betroffenen Personen oder 
ihrer Vertreter ein. 
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KAPITEL IX 

KONTROLLBEHÖRDEN UND GRUPPE FÜR DEN 
SCHUTZ PERSONENBEZOGENER DATEN 

Artikel 26 

Die Kontrollbehörde 

1. Die Mitgliedstaaten tragen dafür 
Sorge^ daß eine unabhängige Behörde 
den Schutz personenbezogenpr Daten 
kontrolliert. Diese Behörde hat den 
Auftrag, die Anwendung der in 
Durchführung dieser Richtlinie 
erlassenen einzelstaatlichen 
Bestimmungen zu überwachen und alle 
Aufgaben wahrzunehmen, die ihr 
durch diese Richtlinie zugewiesen 
sind . 

2. Diese Behörde verfügt über 
Untersuchungsbef ügnisse und 
wirksajne Eingriffsmöglichkeiten 
gegen die Einrichtung und Nutzung 
von Dateien, die den Bestimmungen 
dieser Richtlinie nicht 
entsprechen. Dazu verfügt sie 
insbesondere über das Zugriffsrecht 
auf die Dateien, die unter diese 
Richtlinie fallen; sie muß alle für 
die Erfüllung ihrer Kontrol lauf gäbe 
erforderlichen Informationen 
sammeln können. 


KAPITEL VI 

KONTROLLBEHÖRDE UND GRUPPE FÜR DEN 
SCHUTZ DER RECHTE VON PERSONEN BEI DER 
VERARBEITUNG PERSONENBEZOGENER DATEN 

Artikel 30 
Kontrol Ibehörde 

1. Jeder Mitgliedstaat benennt eine 
unabhängige staatliche Behörde, die für 
die Gewährleistung des Schutzes 
personenbezogener Daten zuständig ist. 
Diese Behörde hat den Auftrag, die 
Anwendung der in Durchführung dieser 
Richtlinie erlassenen einzelstaatlichen 
Bestimmungen zu überwachen und alle 
Aufgaben wahrzunehmen, die ihr durch 
diese Richtlinie zugewiesen sind. Jeder 
Mitgliedstaat kann mehrere 
Kontrollbehörden benennen. 

2. Jede Kontrollbehörde verfügt üt *; 

- Untersuchungsbefugnisse, wie da 

Recht auf Zugriff zu Daten, di 
Gegenstand von Verarbeitungen SLnd, 
die unter diese Richtlinie fallen, 
und auf Einholen aller .für die 
Erfüllung ihres Kontrollauf trags 
erforderlichen Informationen; 
effektive Eingriffsbefugnisse, wie 
die Anordnung der Sperrung oder 
Löschung von Daten, des vorläufigen 
oder endgültigen Verbots einer 
Verarbeitung, der Vernichtung eines 
Datenträgers oder die Befugnis, eine 
Verwarnung an den Verantwortlichen 
der Verarbeitung zu richten; 
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- die Befugnis, die Justizbehörde zu 
befassen, wenn sie Verstöße gegen die 
einzelstaatlichen Bestimmungen zur 
Durchführung dieser Richtlinie 
feststellt . 

3. Jedermann kann sich an diese 
Behörde wenden mit einer Eingabe 
oder Beschwerde in bezug auf den 
Schutz von Personen im Hinblick auf 
die Verarbeitung personenbezogener 
Daten . 

4. Jede Kont rol IbehÖrde legt einen 
Jahresbericht über ihre Tätigkeit vor. 
Dieser Bericht wird veröffentlicht. 

5. D^e Behörden der Mitgliedstaaten 
gewährleisten die notwendige Zusam- 
menarbeit für die Erfüllung ihrer 
Kontrollauf gaben untereinander, 
insbesondere durch den Austausch 
sachdienlicher Informationen oder die 
Wahrnehmung von Untersuchungs- oder 
Eingrif f sbef ugnissen . 

6. Die 'Mitgliedstaaten sehen vor, daß 
jede Kontrol IbehÖrde, ihre Mitglieder 
und Bediensteten dem Berufsgeheimnis 
unterliegen . 


3. Jede Person kann sich mit einer 
Beschwerde oder Eingabe in bezug auf den 
Schutz von Personen bei der Verarbeitung 
personenbezogener Daten an jede 
Kont rollbehörde wenden. Die Person ist 
darüber zu informieren, wie mit der 
Eingabe verfahren wurde. 
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Artikel 27 

Gruppe für den Schutz 
personenbezogener Daten 

1. Es wird eine Gruppe für den 
Schutz personenbezoganer Daten 
eingesetzt. Diese unabhängige 
Gruppe mit beratender Funktion 
setzt sich aus Vertretern der in 
Artikel 26 vorgesehenen 
Kontrollbehörden aus allen 
Mitgliedstaaten zusammen; den 
Vorsitz führt ein Vertreter der 
Kommission . 


2. Das Sekretariat der Gruppe für 
den Schutz personenbezogener' Daten 
führen die Dienststellen der 
Kommission . 

3. Die Gruppe für den Schutz 
personenbezogener Daten gibt sich 
ihre Geschäftsordnung. 


Artikel 31 
Datenschutzgruppe 

1. Es wird eine Gruppe für den Schutz 
der Rechte von Personen bei der 
Verarbeitung personenbezogener Daten 
eingesetzt, nachstehend **die Gruppe” 
genannt. Diese unabhängige Gruppe mit 
beratender Funktion setzt sich aus 
Vertretern der in Artikel 30 
vorgesehenen Kontrollbehörden und einem 
Vertreter der Kommission zusammen. H 
ein Mitgliedstaat mehrere 
Kontrollbehörden benannt, so ernennen 
diese gemeinsame Vertreter, die 
innerhalb der Gruppe über dieselben 
Rechte und Pflichten verfügen wie die 
übrigen Vertreter der anderen Behörden. 

2- Die Gruppe wählt ihren Vorsitzenden. 
Die Dauer der Amtszeit des Vorsitzenden 
beträgt zwei Jahre. Die Wiederwahl ist 
möglich. 

3. Das Sekretariat der Gruppe übernimj? 
die Kommission. 


4. Die Grüppe gibt sich ihre 
Geschäftsordnung . 
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4. Die Gruppe für den Schutz 
personenbezogener Daten prüft die 
Fragen, die ihr Vorsitzender von 
sich aus oder auf begründeten 
Antrag eines Vertreters der 
Kontrollbehörden auf die 
Tagesordnung gesetzt hat und die 
sich auf die Anwendung der 
gemeinschaf t srechtlichen 
Bestimmungen im Bereich des 
Schutzes personenbezogener Daten 
beziehen . 

Artikel 28 

Aufgaben der Gruppe für den Schutz 
personenbezogener Daten 

1. Dife Gruppe für den Schutz 
personenbezogener Daten hat die 
Aufgabe ; 

a) zur einheitlichen Anwendung der 
zur Durchführung dieser 
Richtlinie erlassenen 
einzelstaatlichen Vorschriften 
beizutragen; 

b) zum Schutznive^u in der 
Gemeinschaft und den 
Drittländern Stellung zu nehmen; 


5. Die Gruppe prüft die Fragen, die ihr 
Vorsitzender von Amts wegen oder auf 
begründeten Antrag eines Vertreters der 
Kontrollbehörden oder auf Antrag der 
Kommission auf die Tagesordnung gesetzt 
hat . 


Artikel 32 

Aufgaben der Datenschutzgruppe 

1. Die Gruppe hat die Aufgabe: 


a) zur einheitlichen Anwendung der zur 
Durchführung dieser Richtlinie 
erlassenen einzelstaatlichen 
Vorschriften beizutragen; 

b) zum Schutzniveau in der Gemeinschaft 
und in Drittländern Stellung zu 
nehmen; 
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c) die Kommission zu Vorhaben 
zusätzlicher oder besonderer 
Maßnahmen zur Erhaltung des 
Schutzes der Privatsphäre zu 
beraten. 


2. Stellt die Gruppe für den Schutz 
personenbezogener Daten fest^ daß 
sich im Bereich des Schutzes 
personenbezogener Daten zwischen 
den Rechtsvorschriften oder der 
Praxis der Mitgliedstaaten 
schwerwiegende Unterschiede 
ergeben, die die Gleichwertigkeit 
des Schutzes in der Gemeinschaft zu 
beeinträchtigen drohen, so teilt 
sie dies der Kommission mit. 


c) die Kommission bei jeder Vorlage zur 
Änderung dieser Richtline, zu allen 
Vorhaben zusätzlicher oder 
spezifischer Maßnahmen zur Wahrung 
der Rechte und Freiheiten natürlicher 
Personen sowie zu allen anderen 
Vorhaben zu beraten, die sich auf 
diese Rechte und Freiheiten 
auswirken; 

d) Stellungnahmen zu den auf 
Gemeinschaftsebene erarbeiteten 
Verhaltensregeln abzugeben. 

2. Stellt die Gruppe fest, daß sich im 
Bereich des Schutzes der Rechte von 
Personen bei der Verarbeitung 
personenbezogener Daten zwischen den 
Rechtsvorschriften oder der Praxis der 
Mitgliedstaaten schwerwiegende 
Unterschiede ergeben, die die 
Gleichwertigkeit des Schutzes in der 
Gemeinschaft zu beeinträchtigen drohen, 
'O teilt sie dies der Kommission mit. 
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3, Die Gruppe für den Schutz 
personenbezogener Daten kann zu 
allen Fragen, die den Schutz von 
Personen im Hinblick auf 
personenbezogene Daten in der 
Gemeinschaft betreffen, 
Empfehlungen abgeben. Diese 
Empfehlungen werden in den 
Sitzungsbericht aufgenommen und 
können dem in Artikel 30 genannten 
Beratenden Ausschuß übermittelt 
werden. Die Kommission teilt der 
Gruppe für den Schutz 
personenbezogener Daten mit, wie 
sie mit den Empfehlungen weiter 
verfahren ist. 


3. Die Gruppe kann in eigener Initiative 
Empfehlungen zu allen Fragen, die den 
Schutz von Personen bei der Verarbeitung 
personenbezogener Daten in der 
Gemeinschaft betreffen, abgeben. 


4. Die Stellungnahmen und Empfehlungen 
der Gruppe werden im Sitzungsbericht 
aufgenommen und der Kommission 
übermittelt; sie können auch dem in 
Artikel 34 genannten beratenden Ausschuß 
mitgeteilt werden. 

5. Die Kommission teilt der Gruppe mit, 
welche Konsequenzen sie aus den 
Stellungnahmen und Empfehlungen gezogen 
•hat. Sie erstellt hierzu einen Bericht, 
der auch dem Europäischen Parlement und 
dem Rat übermittelt wird. Dieser Bericht 
wird veröffentlicht. 
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4- Die Gruppe für den Schutz 
personenbezogener Daten erstellt 
einen Jahresbericht über den Stand 
des Schutzes der Personen im 
Hinblick auf die Verarbeitung 
personenbezogener Daten in der 
Gemeinschaft und in den 
Drittländern, den sie der 
Kommission übermittelt, 

KAPITEL X 

RECHTSETZUNGSBEFUGNIS DER 
KOMMISSION 

Artikel 29 

Ausübung der Rechtsetzungsbefugnis 

Gemäß dem Verfahren nach Artikel 30 
Absatz 2 trifft die Kommission die 
für die Anwendung dieser Richtlinie 
auf die Besonderheiten bestimmter 
Bereiche erforderlichen ergänzenden 
Maßnahmen unter Berücksichtigung 
des einschlägigen technischen 
Standes und der Verhaltensregeln, 


6. Die Gruppe erstellt jährlich einen 
Bericht über den Stand des Schutzes 
natürlicher Personen bei der 
Verarbeitung personenbezogener Daten in 
der Gemeinschaft und in Drittländern, 
den sie der Kommission, dem Europäischen 
Parlament und dem Rat übermittelt. 

Dieser Bericht wird veröffentlicht. 

KAPITEL VII 

RECHTSETZUNGSBEFUGNIS DER KOMMISSION 

Artikel 33 

Ausübung der Rechtsetzungsbefugnis 

Gemäß dem Verfahren von Artikel 34 
Absatz 2 verabschiedet die Kommission 
die für die Anwendung dieser Richtlinie 
auf die Besonderheiten bestimmter 
Bereiche oder bestimmter 
Verarbeitungskategorien erforderlichen 
technischen Modalitäten und die 
notwendigen Maßnahmen, um die 
einheitliche Anwendung der Bestimmungen 
dieser Richtlinie zu gewährleisten. 
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Artikel 30 

Beratender Ausschuß 

1. Die Kommission wird durch einen 
Beratenden Ausschuß unterstützt, 
der sich aus Vertretern der 
Mitgliedstaaten zusamrnensetzt und 
dessen Vorsitz der Vertreter der 
Kommission führt. 

2. Der Vertreter der Kommission 
unterbreitet dem Ausschuß einen 
Entwurf der zu treffenden 
Maßnahmen. Der Ausschuß gibt seine 
Stellungnahme zu diesem Entwurf 
innerhalb einer Frist, die der 
Vorsitzende unter Berücksichtigung 
der Dringlichkeit der betreffenden 
Frage - erforderlichenfalls durch 
eine Abstimmung - festsetzen kann. 
Die Stellungnahme wird in das 
Protokoll aufgenommen; darüber 
hinaus hat jeder Mitgliedstat das 
Recht zu verlangen, daß sein 
Standpunkt im Protokoll 
festgehalten wird. Die Kommission 
berücksichtigt soweit wie möglich 
die Stellungnahme des Ausschusses. 
Sie unterrichtet den Ausschuß 
darüber, inwieweit sie seine 
Stellungnahme berücksichtigt hat. 


Artikel 34 

Beratender Ausschuß 

1. Die Kommission wird durch einen 
beratenden Ausschuß unterstützt, der 
sich aus Vertretern der Mitgliedstaaten 
zusaunmensetzt und dessen Vorsitz der 
Vertreter der Kommission führt. 

2. Der Vertreter der Kommission 
unterbreitet dem Ausschuß einen Entwurf 
der zu treffenden Maßnahmen. Der 
Ausschuß gibt seine Stellungnahme zu 
diesem Entwurf innerhalb einer Frist ab, 
die der Vorsitzende unter 
Berücksichtigung der Dringlichkeit der 
betreffenden Frage - gegebenenfalls 
durch eine Abstimmung - festsetzen kann. 
Die Stellungnahme wird in das Protokoll 
auf genommen; darüber hinaus hat jeder 
Mitgliedstaat das Recht zu verlangen, 
daß sein Standpunkt im Protokoll 
festgehalten wird. Die Kommission 
berücksichtigt soweit wie möglich die 
Stellungnahme des Ausschusses. Sie 
unterrichtet den Ausschuß darüber, 
inwieweit sie seine Stellungnahme 
berücksichtigt hat. 
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SCHLUSSBESTIMMUNGEN 

Artikel 31 

1. Die Mitgliedstaaten erlassen die 
erforderlichen Rechts- und Verwal- 
tungsvorschriften, um dieser Richt- 
linie spätestens am 1. Januar 1993 
nachzukommen • 

Die aufgr- d des ersten 
Unterabsat^es erlassenen 
Vorschriften enthalten eine 
ausdrückliche Verweisung auf diese 
Richtlinie. 


2. Die Mitgliedstaaten teilen der 
Kommission den Wortlaut der 
innerstaatlichen Rechtsvorschriften 
mit, die sie auf dem unter dieser 
Richtlinie fallenden Gebiet 
erlassen. 


SCHLUSSBESTIMMUNGEN 

Artikel 35 

1. Die Mitgliedstaaten erlassen die 
erforderlichen Rechts- und Verwal- 
tungsvorschriften, um dieser Rich-tlinie 
spätestens am 1. Juli 1994 nachzu- 
kommen. 

Wenn die Mitgliedstaaten diese 
Vorschriften erlassen, nehmen sie in 
diesen Vorschriften selbst oder durch 
einen Hinweis bei der amtlichen 
Veröffentlichung auf diese Richtlinie 
Bezug. Die Mitgliedstaaten regeln die 
Einzelheiten dieser Bezugnahme. 

2. Die Mitgliedstaaten bestimmen den 
Zeitpunkt, der vor dem 1. Juli 1997 
liegen muß, nach dem die Ver- 
arbeitungen, die vor dem 1. Juli 1994 
erfolgt sind, den einzelstaatlichen 
Vorschriften zur Durchführung dieser 
Richtlinie entsprechen müssen. 

3- Die Mitgliedstaaten teilen der 
Kommission den Wortlaut der 
innerstaatlichen Rechtsvorschriften mit, 
die sie auf dem unter diese Richtlinie 
fallenden Gebiet erlassen. 
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Artikel 32 

Die Kommission legt dem Rat und dem 
Europäischen Parlament regelmäßig 
einen Bericht über die Durchführung 
dieser Richtlinie vor, den sie 
gegebenenfalls mit geeigneten 
Änderungsvorschlägen verbindet. 

Artikel 33 

Diese Richtlinie ist an die 
Mitgliedstaaten gerichtet. 

Geschehen zu Brüssel am 

Im Namen des Rates 
Der Präsident 


Artikel 36 

Die Kommission legt dem Rat und dem 
Europäischen Parlament regelmäßig einen 
Bericht über die Durchführung dieser 
Richtlinie vor, den sie gegebenenfalls 
mit geeigneten Änderungsvorschlägen 
verbindet. Dieser Bericht wird 
veröffentlicht . 

Artikel 37 

Diese Richtlinie ist an die 
Mitgliedstaaten gerichtet. 

Geschehen zu Brüssel am 

Im Namen des Rates 
Der Präsident 
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FINANZBOGEN 


Teil 1; Finanzielle Auswirkungen 

1. Bezeichnung der Maßnahme ; Geänderter Vorschlag für eine Richtlinie 

des Rates zum Schutz natürlicher Personen 
bei der Verarbeitung personenbezogener 
Daten und zum freien Datenvbrkehr . 


2 . Haushaltslinien ; 

A 2510: Ausgaben für Sitzungen eines Ausschusses, dessen Konsultier 
im Rahmen des Verfahrens zur Ausarbeitung von Gemeinschaftsrechtsakt 
obligatorisch ist . 

A 2511 :• Ausgaben für Sitzungen eines Ausschusses, dessen Konsultierung 
kein obligatorisches Element des Verfahrens zur Ausarbeitung von 
Gemeinschaftsrechtsakten ist . 

Titel Al und A2 : Personal- und Betriebskosten. 


3 . Rechtsgrundlage : 

Artikel 100a EWG-Vertrag. 


4 . Beschreibung der Maßnahme 

Ziele ; - Ermöglichung des einwandfreien Funktionierens des Binnen- 
marktes durch Sicherstellung des grenzüberschreitenden 
Verkehrs personenbezogener Daten in der Gemeinschaft; 

- Gewährleistung des Schutzes natürlicher Personen bei der 
Verarbeitung personenbezogener Daten. 

Bildung von 2 Ausschüssen , die für den Schutz von Personen bei der 
Verarbeitung personenbezogener Daten zuständig sind (Art. 31 und Art. 
34) . 

In Frage kommende Personen : 1. Für die Datenschutzgruppe (Art. 31): 

Vertreter de 'ontrollbehörden aller 
Mitgliedstae (Gruppe 4). 

2. Für den Beratenden Ausschuß (Art. 34): 
Vertreter der Mitgliedstaaten (Gruppe 3). 
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Ein Vertreter der Kommission führt den Vorsitz des Beratenden Ausschusses 
Den Vorsitz der Datenschutzgruppe führt ein für zwei Jahre gewähltes 
Mitglied. Das Sekretariat des Beratenden Ausschusses und der 
Datenschutzgruppe führen die Dienststellen der Kommission. 


5 . Einstufung der Ausgaben: 

5.1. : NOA (Nichtobligatorische Ausgaben) 

5.2. : NGM (Nichtgetrennte Mittel) 


6 . Art der Ausgaben : 

Ausgaben für die Beteiligung der Mitglieder an den Sitzungen der Gruppe 
und des Ausschusses; 


Personalkosten, 


7 . Finanzielle Auswirkungen auf die Interventionsmittel : 
Keine. 


8 . Welche Vorkehrungen sind zur Betrugsverhütung vorgesehen ? 
Keine. 


Teil 2: Verwaltungsausgaben (Teil A des Haushalts) 


1. Ist für die Maßnahme eine Verstärkung des Kommissionspersonals 
erforderlich? Ja; 2 zusätzliche C-Beamte. 

Diese Planstellen sollen entweder im Rahmen der von der Kommission auf der 
Grundlage der künftigen Haushaltspläne beschlossenen Mittelverteilung oder 
durch dienstinterne Neuverwendung bewilligt werden. 
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2. Höhe der entstehenden Ausgaben: 

“ Sekretariat ; rund 120.000 ECU pro Jahr, die in den verschiedenen 
Haushaltslinien des Titels Al und A2 verbucht werden 
(2 C-Beamte) . 

“ Sitzungen der Gruppen ; 

* Detenschutzqruppe ; 

24 (regierungsunabhängige) Mitglieder x 4 Sitzungen an 2 Tagen: 

- Reisekosten: 526,61 ECU x 24 x 4 = 50.555 ECU 

- Anreiseentschädigung: 105,40 ECU x 24 x 4 = 10.118 ECU 

- Sekretariatskosten: 105,40 ECU x 24 x 4 x 2 20.236 ECU 

80.909 ECU 

* Beratender Ausschuß ; 

24 (regierungsunabhängige) Mitglieder x 2 Sitzungen an 2 Tagen: 

- Reisekosten: 526,61 ECU x 24 x 2 = 25.277 ECU 


Abgerundeter Gesamtbetrag für ein ganzes Jahr: 


Sekretariat 

Gruppe 

Ausschuß 


120.000 ECU 

81.000 ECU 

25.000 ECU 


INSGESAMT 


226.000 ECU 


Teil 3; Kosten-Nutzen-Analyse 

1 . Ziele und Berücks iLchtigung bei der Finanzplanunq 

Geplant ist die Bildung von 2 Gruppen, die ermächtigt werden sollen, ab 
1994 Sitzungen zu veranstalten. Es ist vorgesehen, sie bei der Finanz- 
planung für 1994 in das Verzeichnis der Ausschüsse aufzunehmen. 

Fälligkeitsplan (NOA, NGM) : 
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Verpf lichtunqsermächt igungen - Zahlunqsermächt iqunqen 


1994: 226.000 ECU 
1995: 226.000 ECU 
1996: 226.000 ECU 
1997: 226.000 ECU 
1998: 226.000 ECU 


Die Mittel sind im allgemeinen Rahmen der einzelnen Haushaltsverfahren 
für die verschiedenen Haushaltsposten des Teils A zu beantragen. 


2 . Begründung der Maßnahme 

a) Gruppe für den Schutz der Rechte von Personen bei der Verarbeitung 
personenbezogener Daten (Datenschutzgruppe) (Art. 31) 

Diese unabhängige beratende Gruppe wird eingesetzt; sie setzt sich 
aus Vertretern der Kontrollbehörden aller Mitgliedstaaten zusammen. 

Die Gruppe gibt sich eine Geschäftsordnung. Die Sekretariatsgeschäfte 
der Gruppe werden von den Dienststellen der Kommission wahrgenommen. 

Aufgaben der Gruppe (siehe Artikel 32): Beratung der Kommission bei 
geplanten zusätzlichen Maßnahmen durch Abgabe einer völlig 
unabhängigen Stellungnahme, was im Bereich des Schutzes der Privat- 
sphäre von wesentlicher Bedeutung ist. 


3 . Folgemaßnahmen und Bewertung der Maßnahme 

3.1. Indikatoren : Prüfung des gemäß Artikel 32 Absatz 6 von der Gruppe 
vorgelegten Jahresberichts. 

3.2. Modalitäten und Häufigkeit der Bewertungen : jährlich auf der 
Grundlage des von der Gruppe vorzülegenden obengenannten Berichts. 

3.3. Die wichtigsten Unsicherheitsfaktoren werden mit den 
Schwierigkeiten Zusammenhängen, die voneinander abweichenden 
Konzepte und Erfahrungen aufgrund unterschiedlicher kultureller 
und technischer Faktoren in den Mitgliedstaaten zu harmonisieren. 
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In den Stellungnahmen der Berufsgruppen wurde der ursprüngliche 
Vorschlag in folgenden wesentlichen Punkten bemängelt: 

der Vorschlag ist zu ausführlich; 

der Einwilligung der betroffenen Person als Voraussetzung für die 
Verarbeitung personenbezogener Daten wird ein zu wichtiger Platz 
eingeräumt; 

jegliche Möglichkeit einer automatisierten Entscheidung und 
Erstellung eines Persönlichkeitsprofils ist verboten; 

die Verpflichtungen auf dem Gebiet der Unterrichtung der betroffenen 
Person und der Meldung bei den KontrollbehÖrden sind schwerfällig und 
unzureichend angepaßt; 

die Fortsetzung des internationalen Handels mit Drittländern, die 
über kein angemessenes Schutzniveau verfügen, wird unmöglich gemacht 

es besteht die Gefahr einer Beeinträchtigung der freien Meinungs- 
äußerung, wenn einige Mitgliedstaaten nicht die notwendigen 
abweichenden Bestimmungen vorsehen, um die Vorschriften über die 
Ausübung der Meinungsfreiheit mit den Vorschriften über den Schutz 
der Privatsphäre in Einklang zu bringen. 

Es wurde versucht, in den geänderten Vorschlag die erforderlichen Klar- 
stellungen und Anpassungen einzubringen und gleichzeitig weiter das hohe 
Schutzniveau anzustreben, ohne das der freie Oatenverkehr nicht 
gewährleistet werden kann. 
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Bericht der Abgeordneten Dorle Marx, Meinrad Belie und Dr. Burkhard Hirsch 


Die Unterrichtung durch die Bundesregierung, Schutz 
von Personen bei der Verarbeitung personenbezoge- 
ner Daten und Sicherheit der Informationssysteme, 
KOM (90) 314 endg. — SYN 287-288, EG-Dok. 
Nr. 8460/90, wurde auf Drucksache 12/210 vom 
7. März 1991 an den Innenausschuß federführend, an 
den Rechtsausschuß, den Ausschuß für Arbeit und 
Sozialordnung, den Ausschuß für Post und Telekom- 
munikation, den Ausschuß für Forschung, Technolo- 
gie imd Technikfolgenabschätzimg und an den Haus- 
haltsausschuß zur Mitberatung überwiesen. 

Der Rechtsausschuß hat die Unterrichtung am 12. Ja- 
nuar 1994 einstimmig zur Kenntnis genommen. 

Der Ausschuß für Arbeit und Sozialordnimg hat in 
seiner Sitzung am 19. Januar 1994 mit den Stimmen 
der Mitgheder der Fraktionen der CDU/CSU imd 
F.D.P. bei Nichtbeteiligimg der Fraktion der SPD imd 
des Mitgheds der Gruppe der PDS/Linke Liste folgen- 
den Antrag verabschiedet: 

„Die Bundesregienmg wird aufgef ordert, bei ihren 
Verhandlungen zu der Richtlinie des Rates zum 
Schutz von Personen bei der Verarbeitimg personen- 
bezogener Daten darauf hinzuwirken, daß die Richt- 
hnie eine Fassimg erhält, welche es ermöghcht, 

— das hohe Niveau des Arbeitnehmer- und Sozialda- 
tenschutzes in Deutschland aufrechtzuerhalten, 

— die Mitwirkimgsrechte der deutschen Tarifver- 
tragsparteien und der Betriebs- und Personalräte 
bei der Verwirklichung des Datenschutzes zu wah- 
ren, 

— daß verhindert wird, daß Arbeitnehmer in 
Deutschland in ihrem Datenschutz dadurch beein- 
trächtigt werden, daß ihre Daten in anderen Staa- 
ten verbreitet werden, 

— eine erforderhche Verarbeitung von Gesundheits- 
daten durch Gesundheitsberufe und Sozialversi- 
cherungsträger im Rahmen der Schutzvorschriften 
des nationalen Rechts durchzuführen, " 


Der Ausschuß für Post imd Telekommunikation hat in 
seiner 34, Sitzung vom 3. Februar 1993 die Mitteilung 
der Kommission zum Schutz von Personen bei der 
Verarbeitung personenbezogener Daten in der 
Gemeinschaft und zur Sicherheit der Informationssy- 
steme beraten und die in dieser Vorlage enthaltenen 
Vorschläge für eine Richtlinie des Rates zum Schutz 
von Personen bei der Verarbeitung personenbezoge- 
ner Daten sowie zum Schutz personenbezogener 
Daten und der Privatsphäre in öffenüich digitalen 
Telekommunikationsnetzen, insbesondere im dienste- 
integrierenden digitalen Telekommimikationsnetz 
(ISDN) und in öffentlichen digitalen Mobilfunknetzen, 
nüt der Maßgabe zur Kenntnis genommen, daß nach 
Vorliegen der überarbeiteten Richtlinien- Vorschläge 
der Ausschuß erneut mit der Thematik befaßt werde. 

Der Ausschuß für Forschung, Technologie und Tech- 
nikfolgenabschätzung hat am 27. Februar 1991 die 
Mitteilung der Kommission — EG-Dok. Nr. 8460/90 — 
einvemehmlich zur Kenntnis genommen. 

Der Haushaltsausschuß hat in seiner Sitzung am 
25. April 1991 das EG-Dok. Nr. 8460/90 auf Empfeh- 
lung seines Unterausschusses zu Fragen der EG zur 
Kenntnis genommen. 

Der Innenausschuß hat das EG-Dok. Nr. 8460/90 unter 
Berücksichtigung des geänderten Vorschlags — Rats- 
Dok.Nr. 9400/92 — in seiner 87. Sitzung am 19. Januar 
1994 und seiner 100. Sitzung am 15. Juni 1994 in 
Anwesenheit des Bundesbeauftragten für den Daten- 
schutz und der Bundesregierung beraten. In seiner 
100. Sitzung hat er mit den Stimmen der Koahtions- 
fraktionen gegen die Stimmen der Fraktion der SPD in 
Abwesenheit der Gruppen BÜNDNIS 90/DIE GRÜ- 
NEN und der PDS/Linke Liste beschlossen, den geän- 
derten Vorschlag der Kommission für eine Richtlinie 
— Rats-Dok. Nr. 9400/92 — zur Kenntnis zu nehmen 
und die Bundesregierung aufzufordem, bei der Bera- 
tung über den Vorschlag der Kommission von den aus 
der Beschlußempfehlung ersichtiichen Grundsätzen 
auszugehen. 


Bonn, den 27. Juni 1994 


Dorle Marx 


Meinrad Belle Dr. Burkhard Hirsch 


Berichterstatterin Berichterstatter 
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